sir_trading_exploit
SIR.trading 向攻击者提供 10 万美元赏金，因攻击导致 TVL 全部丧失
去中心化金融协议 SIR.trading 遭受了一次灾难性的攻击，导致其总锁定价值（TVL）全部丧失。其创始人公开悬赏 10 万美元，希望换取被盗资金的归还。
此次攻击共计导致平台损失约 35.5 万美元，并引发了对以太坊近期 Dencun 升级的新的安全担忧。
攻击发生后，创始人向黑客发出公开请求
3 月 31 日，SIR.trading 的匿名创始人 Xatarrer 在链上向黑客发出了请求。
尽管遭受了毁灭性的财务损失，他仍然承认此次攻击手法之高超，甚至称其“几乎是美丽的”。
在信息中，他向攻击者提供了一次机会，即可以保留 10 万美元作为发现漏洞的奖励，但要求归还其余资金。
Xatarrer 强调，SIR.trading 并非由风险投资支持，而是历时四年，由朋友和支持者筹集 7 万美元建立的基层项目。
他表示，如果无法取回被盗资金，该平台将无法继续运营。然而，截至目前，攻击者尚未对此作出回应。
链上数据显示，被盗资产已被转移至 Railgun——一个旨在隐藏交易痕迹的隐私协议，这使得资金的追回更加困难。
攻击细节：对瞬时存储的巧妙操控
导致 SIR.trading 遭受攻击的漏洞与以太坊 Dencun 升级引入的瞬时存储（transient storage）功能有关。
此次攻击被区块链安全专家描述为极其复杂，黑客利用了 SIR.trading 保险库合约中的 uniswapV3SwapCallback 函数进行攻击。
据区块链安全公司 Decurity 分析，攻击者利用瞬时存储操控合约对交易验证的方式。
正常情况下，该合约应仅允许合法的 Uniswap 池执行交换交易，但攻击者欺骗合约，使其信任由黑客控制的虚假 Uniswap 池地址。
这一漏洞之所以能够被利用，是因为瞬时存储在交易完成之前不会重置，攻击者因此可以在交易执行过程中修改安全参数。
此外，区块链研究员 Yi 进一步分析指出，攻击者采用暴力破解（brute-force）方式生成了一个精心设计的地址，使其符合合约的预期参数。
这最终导致 SIR.trading 保险库内的所有资产被提取，TVL 被完全清空。
Xatarrer 形容此次攻击是“协议可能遭遇的最糟糕消息”。尽管遭受重创，他仍表示将继续努力重建，并向社区征求下一步的建议。
DeFi 安全漏洞的增长趋势
SIR.trading 遭受的攻击只是去中心化金融（DeFi）领域安全事件增加的一个缩影。
就在 SIR.trading 被攻击的六天前，去中心化借贷协议 Abracadabra.Money 也遭遇重大攻击，损失达 1300 万美元。
据 PeckShield 于 3 月 25 日检测，该攻击专门针对使用 GMX 代币的池子。黑客利用 Abracadabra 智能合约的漏洞，共计盗取 6260 枚 ETH。
这已是 Abracadabra 2024 年遭受的第二次重大攻击。今年 1 月，该平台因漏洞损失 649 万美元，导致其稳定币 Magic Internet Money（MIM）脱锚。
类似地，2024 年 2 月，整个加密行业损失约 15.3 亿美元，相较 1 月的 9800 万美元增长了惊人的 1500%。
其中最大的一笔损失来自 Bybit 交易所 2 月 21 日的黑客攻击，该事件被归因于朝鲜的 Lazarus 组织。攻击导致约 14 亿美元被盗，成为历史上最大的加密货币黑客事件之一。
截至目前，尽管 Xatarrer 仍希望黑客接受赏金提议，但现实情况是，许多已完成翻译，并以 HTML 格式呈现，确保内容结构清晰、准确无误。如有进一步修改需求，请告诉我！