原文| Odaily星球日報（ @OdailyChina ）
作者| 夫如何（ @vincent 31515173 ）
昨日，借貸平台 Onyx Protocol 被駭客利用漏洞攻擊，損失價值超 380 萬美元，被盜資金包括1300 萬枚VUSD、 735 萬枚XCN、 5000 枚DAI、 0.23 枚WBTC 和5 萬枚USDT。
CoinGecko 數據顯示，VUSD 立即脫錨，最低跌至 0.2757 美元， 24H跌幅達 72.43% ；截至發文，VUSD 依舊處於脫錨狀態，但已回升至 0.7228美元，24H跌幅收窄至 28.3% 。
Onyx Protocol 為了應對本次被盜事件，發布提案OIP-46 ，建議重新啟動Onyx 的開源許可金融網絡Onyx Core，作為主要產品，與XCN Staking 一起確保Onyx Core 的治理和Onyx Staker 的獎勵。
根據該提案，Onyx Protocol 將在Onyx Core 上以封閉式借貸協議運行，允許用戶將NFT 和真實資產（RWA）包裝並借貸，同時支援來自多個鏈的加密資產。此舉將關閉基於以太坊的借貸市場，並全額補償所有受影響用戶，以1:1的比例支付其提供的資產。
事件回顧
9 月 26 日 20: 48 ，安全公司Cyvers 平台在 X 上發文，經其係統檢測到涉及 Onyx 可疑交易，損失或已達 320 萬美元。
同日 21: 55 ，保全公司PeckShield在 x 平台發文稱，抽走資金包括410 萬枚VUSD、 735 萬枚XCN、 5000 枚DAI、 0.23 枚WBTC 和5 萬枚USDT。
VUSD 官方隨後發佈公告稱：「遭遇安全漏洞，導致超過1300 萬美元的 VUSD 被盜。駭客隨後將盜取的VUSD 出售至流動性池，導致二級市場流動性損失約150 萬美元。事件發生後，智能合約已被暫停，以便進行適當溝通，目前確認VUSD 程式碼庫及儲備沒有漏洞。繼續套利。
官方稱，VUSD 仍由超額抵押的資產全額支持，機構用戶可按市場價格贖回和鑄造VUSD。 VUSD 正在與Onyx DAO 及相關當局合作識別攻擊者，並計劃在未來探索零售贖回所需的許可證。
Onyx Protocol 被偷原因是什麼？
安全公司PeckShield表示，促成駭客攻擊的問題與 NFT 清算合約有關，該合約未能正確驗證（不可信的）用戶輸入，導致自我清算獎勵金額被人為擴大。
Onyx Protocol引用PeckShield關於「駭客利用 NFTLiquidation 合約漏洞攻擊」的推文表示，駭客利用該協定從中抽走了VUSD，此次漏洞可以從NFT 清算合約中的一個安全隱患中識別和理解。主要問題並非 Empty market，而是NFT Liquidation 合約， XCN 質押和XCN Farming 未受影響。
知名安全公司CertiK 告訴Odaily星球日報：「Onyx Protocol 的清算合約沒有校驗用戶傳入的oTokenCollateral 和oTokenRepay 地址。簡單來說，攻擊者透過自己部署的惡意合約欺騙Onyx 協議他已經歸還了欠款，從而歸還了欠款，從而歸還了欠款在不歸還欠款的情況下取回了所有抵押品」。
PeckShield也提到，Onyx 被盜原因可能是分叉 Compound V2 程式碼庫中已知精確度問題，該漏洞已被攻擊者利用。 CertiK 也表示，Compound V2 的精度損失問題導致的Empty Market Vulnerability確是一個已經被多次攻擊的已知問題，去年的Hundred Finance 以及今年 5 月份的 Sonne Finance 都因為精度損失遭到攻擊。
Odaily星球日報調查發現，去年 11 月，Onyx 同樣受到駭客攻擊，被攻擊的原因同樣是駭客利用 Compound V2 分叉版本背後的已知舍入問題。但當時Onyx 社群負責人 Alex表示，漏洞已修復，正與合作夥伴一起處理後續。
據悉，Onyx Protocol是以太坊生態的鏈上借貸平台，旨在提供代幣和 NFT 的借貸市場，其中關於代幣部分可能在開發過程中引用了Compound V2 的代碼，算是Compound V2 分叉。但當時的Compound V2 的程式碼有精確度問題，後續Compound 本身已經修改相關問題，但在這之前分叉的專案卻無法避免相關問題。
關於 Onyx Protocol 被盜後續進展，Odaily星球日報將持續關注。
