Convex协议成功修复潜在150亿美元漏洞
背景与发现
Convex协议作为提升Curve稳定币用户奖励的平台,近日成功修复了一个可能导致150亿美元资金风险的漏洞。在去中心化金融领域,项目方携款潜逃的事件(俗称"rug pull")在过去一年已成为一个严重问题。
区块链安全公司OpenZeppelin在为Coinbase进行Convex Finance协议的安全审计时,发现了一个重大漏洞。该公司发现,如果Convex协议的三名多重签名钱包签署者中有两人执行特定步骤,他们就可以获得流动性提供者代币池的访问权限。
漏洞影响
由于Convex持有Curve Finance流通中的大部分CRV稳定币,大量资金面临风险。该漏洞可能使Convex的匿名开发者(以三名多重签名签署者中的两人形式)获得对Convex锁定价值的控制权,当时这笔金额约为150亿美元。
修复过程
该漏洞只能由Convex的开发团队利用或修复,OpenZeppelin表示这使得披露过程变得复杂。安全公司认为这个漏洞很可能是无意的,意味着开发者既不知道这个漏洞的存在,也没有携款潜逃的意图。但如果判断错误,向有能力进行"rug pull"的人发出警告可能会带来灾难性后果。
最终,OpenZeppelin表示在向Convex团队描述漏洞之前,已尝试确保漏洞不会被利用。他们通过漏洞赏金合作伙伴Immunefi作为中间人进行沟通。
结果与后续
目前,该漏洞已被修复。该漏洞从未被利用,也没有任何资金损失。Convex在其公开文档中发布了额外资源,详细解释了多重签名的弱点。