Bedrock DeFi 遭黑客攻击，170 万美元 uniBTC 被盗，攻击手段为智能trac漏洞。

基于 Bitcoin去中心化 DeFi 协议 Bedrock DeFi被盗走 170 万美元，该协议使用一种名为 uniBTC 的封装资产。uniBTC 被盗事件发生在 Onyx Finance 遭受攻击的第二天。. 

Bedrock DeFi 遭到攻击，价值 170 万美元的 uniBTC 被盗，原因是其重新质押池被利用智能合约漏洞清空trac在调查此次攻击后，Bedrock 关闭了存在问题matic 智能合约trac避免了进一步的 攻击。黑客得以不受限制地增发 uniBTC，这可能暴露了所有相关的资金池和交易对。

该漏洞最初由Dedaub分析团队发现，他们立即尝试联系Bedrock开发人员。然而，不到三个小时后，另一名攻击者利用该漏洞创建了过多的uniBTC。.

Bedrock DeFi 宣布，此次漏洞仅影响了uniBTC，uniBTC是另一种BTC代币化形式。底层储备仍然安全，协议已修复该问题。该平台持有超过2.43亿美元的资产，这些资产来自包括 Bitcoin 和 Ethereum在内的多个网络。Bedrock DeFi 旨在提供多链流动性再质押服务，使闲置资产能够赚取被动收益。. 

代币化的 uniBTC 资产是 Ethereum 链上的 ERC-20trac。这种封装的 BTC 被存储在 3,552 个地址中，总市值达 7540 万美元。漏洞利用后不久，一些去中心化交易对的交易量出现了异常波动。. 

uniBTC 版本共存在于八个网络上，一些协议（例如 Pendle）与 Corn 协议绑定，导致该资产面临高达 3000 万美元的风险敞口。类似的用于铸造 uniBTC 的漏洞trac也对 Ethereum、 Binance、Arbitrum、Optimism 主网、Mantle、Mode、BOB 和 ZetaChain 构成威胁。Dedaub 的研究人员向 Pendle 发出警告，从而避免了大部分锁定价值被用作退出流动性。.

UniBTC 黑客事件在去中心化交易所引发了连锁反应。Uniswap V3 的一个交易池价格暴跌至 17,889.15 美元，而另一个交易对的价格则略有下跌，为 62,311.48 美元。去中心化交易对的 Optimism 版本价格暴跌 90% ，跌破 18,000 美元，甚至一度跌至 5,741.48 美元的新低。由于这些交易对流动性不足，抛售压力占据主导地位，套利机会难以获得。 

实际的掉期汇率暴跌可能对该协议造成了更大的损害，同时也造成了声誉损失。黑客攻击发生数小时后，uniBTC 仍未恢复与 WBTC 的平价，而 WBTC 构成了大部分交易对。. 

与其他攻击方式一样，社交媒体上的虚假评论会诱导用户使用撤销网站。钱包用户还会面临这些恶意链接带来的额外风险，这些链接可能会耗尽剩余资产。. 

黑客利用了 Bedrock 对 uniBTC 合约的trac漏洞 

此次漏洞影响了代币化的封装型 uniBTC，其背后有实际的 BTC 和 WBTC 作为支撑。像 Dedaub 这样的研究人员声称他们已经注意到该漏洞可能被用于攻击 Bedrock，但黑客攻击发生在发出警告数小时之后。.

Dedaub指出，恶意攻击者可以 无限 uniBTC，并攻击金库和去中心化交易对。除了Bedrock DeFi。攻击者可以存入少量ETH，并以不同的汇率铸造uniBTC。新铸造的uniBTC可以完全转移，并可以在Uniswap或其他去中心化协议上出售以获得更多WBTC。 

另一位研究员寿超凡指出，uniBTCtrac存在函数调用漏洞。存在风险的资金总额在分析前几个小时被精确清空。. 

你可以使用 ItyFuzz 生成一个功能齐全的漏洞利用程序，从@Bedrock_DeFi uniBTC窃取高达 170 万美元。

只需要一个CPU核心加上0.5秒。 pic.twitter.com/SMMD1MSbvT

— Chaofan Shou (@Fried_rice) 2024年9月27日

对智能合约的调用trac中锁定价值大幅提升之后 DeFi 遭受攻击 DeFi 的历史最高水平 2.43亿美元。

该协议得以幸免于难的原因在于其质押机制的非托管特性。这种特性使得黑客能够窃取封装资产并影响去中心化交易所（DEX）的流动性池，但无法触及底层储备。封装后的比特币通常使用冷钱包，且不易兑换回原始资产。. 

Bedrock 使用 Babylon Labs 和 Eigen Layer 来实现其奖励机制。这些协议能够安全地释放 BTC 和 ETH 的价值，而无需让这些资产直接面临风险。生成的 uniBTC 还可以用于 Pendle 和 Velodrome 等平台，以获得被动收益。. 

过去几周的大部分攻击都针对基于 Ethereum去中心 DeFi。当前的攻击影响了一种 Bitcoin衍生资产，尽管该资产的大部分价值转移仍然使用 Ethereum 区块链。.

克里斯蒂娜·瓦西列娃 (Hristina Vasieva) 的Cryptopolitan 报道