北京时间2022年3月9日21:50，CertiK安全专家团队检测到Fantasm Finance抵押池被恶意利用。
攻击者铸造了大量的XFTM代币，并将其交易为ETH，总损失约为1000ETH（价值约270万美元）。
下文CertiK安全团队将从合约地址及攻击操作等方面为大家进行详细的解读并分析。
https://ftmscan.com/tx/0x64da8b8043b14fe93f7ab55cc56ccca2d190a59836a3f45dbb4b0a832e329cac?
百度Apollo首发 “Apollo 001”系列纪念数字藏品:金色财经报道，据百度Apollo智能驾驶官方公众号，百度Apollo全网首发首款 “Apollo 001”系列纪念数字藏品，以百度汽车机器人为主体形象，每款对应一个百度Apollo自动驾驶重要里程碑事件。据悉，该数字藏品将于2022年7月8日 09:55发布汽车机器人家族全家福空投款。[2022/7/7 1:58:19]
https://ftmscan.com/tx/0xa84d216a1915e154d868e66080c00a665b12dab1dae2862289f5236b70ec2ad9?
首发 | imKey正式支持Filecoin，成为首批Filecoin硬件钱包:12月1日，随着imToken2.7.2版本上线，imKey同步支持Filecoin，成为业内首批正式支持FIL的硬件钱包。Filecoin作为imKey多链支持的优先级项目之一，成为继BTC、ETH、EOS和COSMOS四条公链后的第五条公链。
据悉，imKey团队已在Q4全面启动多链支持计划，计划实现imToken已经支持的所有公链项目，本次imKey升级更新，无需更换硬件，不涉及固件升级，通过应用（Applet）自动升级，即可实现imKey对Filecoin的支持及FIL的代币管理。[2020/12/2 22:52:32]
①攻击者在地址0x944b58c9b3b49487005cead0ac5d71c857749e3e部署了一个未经验证的合约。
首发 | 百度财报体现区块链 BaaS平台成为新战略重点:金色财经报道，2020年2月28日，百度（股票代码BAIDU）公布财报，其中将区块链BaaS平台相关的进展进行了单独叙述，依托于百度智能云的区块链平台有望成为技术创新方向的新增长引擎。在AI服务上，百度与上海浦东发展银行达成合作，共建区块链联盟，在百度区块链服务（BaaS）平台上实现跨行信息验证。[2020/2/28]
②在第一个tx中，攻击者将Fantom代币(FTM)换成FSM代币，并在合约0x880672ab1d46d987e5d663fc7476cd8df3c9f937中调用mint()函数。
③攻击者调用collect()函数，以此铸造了超出权限更多的XFTM代币。
首发 | 此前18000枚BTC转账是交易所Bithumb内部整理:北京链安链上监测系统发现，北京时间10月24日，17:07分发生了一笔18000枚BTC的转账，经分析，这实际上是交易所Bithumb的内部整理工作，将大量100到200枚BTC为单位的UTXO打包成了18笔1000枚BTC的UTXO后转入其内部地址。通常，对各种“面值”的UTXO进行整数级别的整理，属于交易所的规律性操作。[2019/10/24]
④攻击者多次重复步骤②和③，造成Fantasm Finance巨额损失。
在函数calcMint中，合约使用以下公式来计算铸币量：
_xftmOut = (_fantasmIn * _fantasmPrice * COLLATERAL_RATIO_MAX * (PRECISION - mintingFee)) / PRECISION / (COLLATERAL_RATIO_MAX - collateralRatio) / PRICE_PRECISION。
由于小数点错误，导致_xftmOut最终的值远远大于代码的设计初衷。
攻击者可因此获取大约1000个ETH，所有的资金均被转移至Etherscan（地址为0x47091e015b294b935babda2d28ad44e3ab07ae8d）并被发送到tornado proxy。
本次事件主要是由合约公式计算错误引起的。
只需通过适当的同行评审、单元测试和安全审计，这一类型的风险往往极易避免。
在加密世界里大家一提到漏洞，往往会认为漏洞必然是很复杂的，其实并非总是如此。有时一个小小的计算错误，就可以导致数百上千万美元的资产一朝蒸发。
本次事件的预警已于第一时间在CertiK项目预警推特【https://twitter.com/CertiKAlert】进行了播报。
近期攻击事件高发，加密项目方及用户们应提高相关警惕并及时对合约代码进行完善和审计。
除此之外，技术团队应及时关注已发生的安全事件，并且检查自己的项目中是否存在类似问题。
参考链接：
1.?https://blocksecteam.medium.com/the-analysis-of-the-array-finance-security-incident-bcab555326c1
2. https://peckshield.medium.com/xwin-finance-incident-root-cause-analysis-71d0820e6bc1
3. https://peckshield.medium.com/pancakebunny-incident-root-cause-analysis-7099f413cc9b
4. https://www.certik.io/blog/technology/copycat-attack-balancer-why-defi-needs-change#home
5. https://www.certik.org/blog/uranium-finance-exploit-technical-analysis
6. https://www.certik.io/blog/technology/little-pains-great-gains-balancer-defi-contract-was-drained#home
7. https://www.certik.io/blog/technology/yam-finance-smart-contract-bug-analysis-future-prevention#home
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。