Mirror Protocol - 翻车
魔镜魔镜告诉我...
9000万美元被盗，但这还不是全部。
Mirror Protocol遭受了2次攻击，而其中较大的攻击一开始甚至没有人注意到。
当公布Ronin跨链桥被黑事件时，我们都很震惊，因为在警报响起之前，资金已经丢失了一个星期。
相比之下这次Mirror花了 七个月的时间， 才发现损失，且当项目方最终注意到时，他们没有公布任何消息。
232天后，他们再次中招。
在第一次损失被揭露的第二天，又有200万美元被拿走。
多么令人尴尬。
Mirror的开发者需要认真地对镜自省......
首次漏洞攻击发生在2021年10月8日，涉及反复解锁Mirror Protocol上的空头头寸抵押品。
锁定合约没有检查对取款功能的重复调用，允许攻击者通过传入自己的头寸ID，多次调用 unlock_position_funds 函数来获取其他用户存入的资金。
攻击交易：08DD2B70...
详细分析见BlockSec的文章。
尽管该漏洞仍然存在，但黑客没有进行后续攻击；锁定合约的资金从未达到再次攻击而不惊动该协议用户群的数额。
正如FatManTerra在Twitter上指出的：
"这一切完全没有被TFL和Mirror团队及社区注意到。"
5月14日，该漏洞终于被悄悄修补，没有提及该漏洞和它在7个月前造成的9000万美元的损失。
当论坛上的用户开始研究这个补丁时，大家开始怀疑，他们讨论为什么开发者在没有宣布的情况下 "暗渡陈仓"了这个修复。
最终，FatMan在5月27日公布了相关细节。
然而，在这个被黑事件的消息传出后的第二天，又发生了新攻击。
Mirror第二次攻击：LUNA偷梁换柱
来源：Mirroruser, Blockpane, FatManTerra
"Mirroruser"首先在Mirror论坛上公布了细节，提醒社区注意资金的损失。
跟LUNC定价错误导致Anchor被攻击一样，LUNC在新链上被赋予了LUNA 2.0的价值，当时约5 USTC（约0.10美元）。
这个问题是由于Luna Classic验证节点运行了一个过时的预言机，而这个预言机在旧链上还没有更新。
这意味着用户可以购买便宜的LUNC，作为抵押品存入，并利用其高估值来借出Mirror的资金进行套利。该协议的mBTC、mETH、mDOT和mGLXY被借光，攻击者总共获得了约200万美元。
在周末传出漏洞的消息后，预言机被成功修复，但问题并没有就此停止。
还剩mAssets(Mirror-wrapped stocks)尚未被取走，因为直到周末后开市前他们都无法进行交易。人们担心之前被盗的资金会被用来抢购剩余的、价值被严重低估的mAssets。
然而，在周二开市前的短短几分钟，被盗资金被禁止用作抵押品，挽救了协议的剩余资金。
一个价值9000万美元的漏洞没有被用户（可能还有开发者）注意到，这一事实表明了鲁莽冒失和Terra生态的失败息息相关。
与已经造成的损失相比，这些漏洞低级得简直令人难以接受。首先，一个基本的逻辑错误导致了9000万美元的损失，然后，仓促的分叉导致了一个很容易预见的预言机疏忽问题。
即使面对这些失败，Luna 2.0也在拉盘，尽管损失了他人数十亿美元的资金，但Do Kwon仍然像以前一样傲慢。
Do Kwon急于修复他的名声，并利用所有那些被困在与沉没成本作斗争的人；那些投入时间的开发者，以及投入积蓄的小散户们。
如今DeFi像是迷失目标。我们行业的声誉受到损害，甚至连最热忱的用户也丧失信心。
我们可能已经改进我们的财富分配方式，但显然我们的道德标准仍然需要改进。
想象一下，这个行业如果没有这些自我/傲慢.....可以避免多少损失？
REKT作为匿名作者的公共平台，我们对REKT上托管的观点或内容不承担任何责任。
捐赠 (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C
声明:
REKT对我们网站上发布的或与我们的服务相关的任何内容不承担任何责任，无论是由我们网站的匿名作者，还是由 REKT发布或引起的。虽然我们为匿名作者的行为和发文设置规则，我们不控制也不对匿名作者在我们的网站或服务上发布、传输或分享的内容负责，也不对您在我们的网站或服务上可能遇到的任何冒犯性、不适当、淫秽、非法或其他令人反感的内容负责。REKT不对我们网站或服务的任何用户的线上或线下行为负责。