前言
世界时5月20日10:34:28,币安智能链DeFi收益聚合器PancakeBunny遭到来自外部开发人员的闪电贷攻击,黑客利用闪电贷套利114631个BNB,大约4000W美元,涉及金额巨大。知道创宇区块链安全实验室旨在通过全盘梳理攻击流程和代码细节,一窥闪电贷套利的秘密。基础信息
币安智能链上Belt Finance遭闪电贷攻击 损失620万美元资金:据官方消息,币安智能链(BSC)上的 Belt Finance 遭遇闪电贷攻击,损失 620 万美元。
攻击者利用闪电贷,通过 8 笔交易从 Belt Finance 协议中获得超过 620 万美元资金,并已将大部分资金转换成 anyETH 并提取到以太坊。
此前消息,AMM 协议 Belt Finance 遭到闪电贷攻击。[2021/5/30 22:55:58]
攻击者地址:0xa0acc61547f6bd066f7c9663c17a312b6ad7e187攻击合约地址:0xcc598232a75fb1b361510bce4ca39d7bc39cf498攻击交易hash:0x897c2de73dd55d7701e1b69ffb3a17b0f4801ced88b0c75fe1551c5fcce6a979黑客利用闪电贷借大量BNB,通过PancakeSwap操纵USDT/BNB以及BUNNY/BNB价格,获得大量BUNNY后再进行抛售,导致BUNNY价格闪崩,并且从中获利。实验室就该次攻击事件进行分析,在链上查询到了交易链接以及攻击合约地址。攻击合约地址:0xcc598232a75fb1b361510bce4ca39d7bc39cf498攻击交易链接及截图:https://bscscan.com/tx/0x897c2de73dd55d7701e1b69ffb3a17b0f4801ced88b0c75fe1551c5fcce6a979
拉布拉多犬Labrador已上线BSC币安智能链:据官方消息,拉布拉多犬Labrador 是由社区发起的一项公益实验,已上线BSC币安智能链,智能合约锁定LP,无私募,团队无预留,筹码分散无大户,完全是社区自治型代币,区块已查,100%代币全部用于上线PancakeSwap添加初始流动性 。社区所产生的收益会大力捐赠于Association of the Blind,并支持赞助育养拉布拉多的动物机构。[2021/5/11 21:49:01]
币安智能链上Meerkat Finance项目金库合约遭遇黑客攻击:刚刚,微博大V“超级比特币”在微博表示,“BSC链上山寨羊驼defi项目跑路,三小时1300万美金。唉,土狗别冲啊!”
社群信息显示,DeFi项目Meerkat Finance金库合约遭遇黑客攻击,黑客利用漏洞盗取了金库中的全部资金。
金色财经在此提醒用户,挖矿有风险,投入需谨慎。[2021/3/4 18:15:16]
图1
币安智能链项目Bantiample团队已砸盘跑路,套现3000 BNB:9月19号,币安智能链上的项目Bantiample团队已砸盘套现3000个BNB跑路,目前团队的主要开发者已经删除Telegram账号,项目代币BMAP单日跌幅超过90%。据项目方描述,BMAP是一种类似AMPL仿盘,用户每参与一次交易就会让总量缩减1%。但实际只是普通代币,并没有项目方所描述的功能,只是利用AMPL项目热点进行。(深链财经)[2020/9/19]
图2
图3攻击步骤详解
1.攻击者先调用图2交易,进行了一次抵押,此时会产生抵押奖励;2.然后攻击者通过图1的交易从闪电贷平台借出大量BNB和USDT,通过PancakeSwap的交易对去添加流动性获取lp代币,并将lp代币留在了交易对合约中;3.因为攻击者进行过抵押,然后通过调用图3中VaultFlipToFlip合约的getReward函数来获取BUNNY代币奖励并取回移除先前添加的流动性,然而在奖励计算时,获取BUNNY数量的逻辑出现问题导致产生大量的BUNNY代币,并通过PancakeSwap兑换成BNB,造成了BUNNY价格暴跌;4.通过3步骤得到BNB之后归还到闪电贷地址,并从中获利114631个BNB,价值大约4000W美元。总结
本次攻击事件,攻击者在一笔交易中完成了一系列借用、兑换、获取奖励、归还闪电贷等操作,其主要原因还是项目在计算抵押奖励时获取lp价格出现了逻辑问题,导致黑客利用这一漏洞进行了攻击。
目前,我们在项目方的twitter上注意到,项目方已经暂停了一些项目的存取款功能,并商讨安全修复方案和赔偿计划。如果有新的进展,实验室会在第一时间跟进和分析,请持续关注!
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。