北京時間2 月28 日凌晨，以太坊協議組合工具Furucombo 智能合約出現一個嚴重漏洞。攻擊者已經利用該漏洞獲利超過1400 萬美元。

PeckShield （派盾）分析發現，該漏洞與幾天前Primitive Finance 出現的漏洞原理相同，與用戶的無限授權有關。

由於Cream Finance 未及時從錢包裡撤銷所有對外部合約的授權，因此受到該漏洞的影響，造成損失約110 萬美元。

DeFi 聚合器Furucombo 於2020 年3 月推出，最初只支持Uniswap V1 交易及Compound 供應功能。 2020 年12月，Furucombo 添加連接Uniswap，Compound 和Aave 等協議。

其首席執行官Hsuan-Ting Chu 曾表示：“ Furucombo 不同於1inch 和Yearn Finance，Furucombo 聚合各種DeFi 協議。使用Furucombo，所有都"無需許可"。"

同時，Furucombo 允許用戶進行無抵押快速貸款和借入任何數量的資產。

PeckShield （派盾）通過追踪和分析發現，Furucombo 協議具有樂高性，此次漏洞與用戶的無限授權有關。首先攻擊者製造了一個攻擊智能合約，並將其運行於易受到攻擊的Furucombo 代理中；

Furucombo 調用白名單中的AaveLendingPoolv2 函數，並在函數中附帶攻擊合約地址，調用AaveLendingPoolv2:：initialize（）函數，該函數可進一步調用提供的攻擊合約；

最後，在用戶未撤銷授權的情況下，攻擊者可通過攻擊Furucombo 代理，盜取用戶錢包裡的資產。

在流動性挖礦的引領下，DeFi 於2020 年再次起飛，並成為金融革新的焦點，在這一領域的玩法也越發多樣。由於協議內存放著各類有價資產，讓DeFi 亦成為被攻擊的重災區。

PeckShield 安全專家表示：“DeFi 聚合器Furucombo 把樂高性玩到極致的同時，對每個環節的審計更是至關重要，新的組合會不斷變化和適應，這就要求對合約進行定期的、持續的安全審計，而不是在啟動前打勾。”

在處理資產時，需謹慎授權。 DeFi 正經歷一個前所未有的增長時期，在這個時期，信任的成本非常高。

隨著DeFi 行業規模迅猛增長，尤其是業務和運營合作上的不斷發力，組合過程中潛在的安全問題會愈發凸顯出來。黑客在攻擊某一DeFi 合約漏洞獲利後，會利用同原理的漏洞對其他DeFi 合約進行依次攻擊。

PeckShield （派盾）提示各DeFi 合約，一旦發生攻擊事件後，應自查代碼，如果對此不了解，及時找專業的審計機構進行審計和研究，防患於未然。