在最近的安全漏洞事件中，去中心化金融（DeFi）项目 Onyx Protocol 成为漏洞的受害者，漏洞涉及闪贷 导致价值约 210 万美元的以太坊 (ETH) 币丢失。

区块链调查机构 PeckShield 迅速发出了关于黑客 在此之前，该协议并没有注意到这一点。

#PeckShieldAlert@OnyxProtocol 开采了 ~2.1Mpic.twitter.com/5Z50tCg6MD
- PeckShieldAlert (@PeckShieldAlert)2023 年 11 月 1 日
a

据报道，Onyx 协议漏洞利用者的钱包地址目前持有 1,164 个 ETH 的余额，大约相当于 210 万美元。操作 .

这次入侵是由 Onyx Protocol 黑客发起的，他利用了一个与流行的 CompoundV2 fork 相关的已知漏洞。

犯罪嫌疑人利用 oPEPE 市场内据称缺乏流动性的四舍五入问题，从其他市场借入资金。

PeckShield's 的独立调查详细说明了这一策略。

相同的漏洞被利用

值得注意的是，这并不是一起孤立的事件；早些时候就有人利用类似的漏洞，从多链借贷协议 Hundred Finance 中盗取了 700 万美元。

在这种情况下，攻击者操纵了 ERC-20 代币和 hTOKENS 之间的汇率，使他们能够提取比最初存入的代币更多的代币，CertiK 证实了这一点。

#CertiKSkynetAlert 🚨@百家金融 攻击者操纵了 ERC-20 代币和 htokens 之间的汇率，使他们能够提取比最初存入的代币更多的代币。这次攻击造成的损失估计约为 740 万美元。

保持警惕！ https://t.co/1hxAnFoNjj<br/>- CertiK Alert (@CertiK Alert) A2023 年 4 月 15 日br/> a

攻击者是如何利用 Onyx 协议的？

攻击者的方法是通过向 oPEPE 市场进行表面上微不足道的捐赠来启动该计划。

这笔初始捐款可作为抵押，从流动性充足的市场获得大笔贷款。

在此之后，借入的资金被赎回，并通过利用四舍五入问题进行了利用。

由于 oPEPE 市场在五天前才建立，而且没有任何资金，这就为盗窃提供了便利，从而为剥削提供了一个成熟的机会。

在更详细的事件细节中，攻击者从开源流动性协议 Aave 处策划了 4000 个 ETH 的闪电贷款，随后将其兑换成 meme 币 PEPE，然后利用 Onyx 上的 oPEPE 智能合约。

Onyx Protocol 社区负责人 Alex Onyx 承认了这起盗窃案，并确认漏洞已得到解决。

该团队正在积极努力，以进一步确保协议的安全性。

关于X（前身为 Twitter） 亚历克斯对这一情况表示了解，并保证正在采取步骤减少今后的风险。