本文由“灵踪安全”原创，授权“金色财经”独家发布。
8月25日，BSC链上的收益聚合应用Dot.Finance受到闪电贷攻击。受本次攻击事件的影响，项目代币PINK在短时内发生暴跌，从0.77美元跌至0.5美元。
这次攻击事件中有两点值得我们注意：
一是闪电贷再次成为黑客的工具，将攻击的后果放大。
二是本次攻击与前阵子PancakeBunny受到的攻击同源。
关于“闪电贷”，我们已经在往期的文章中多次介绍：它不是攻击的元凶而只是攻击利用的手段。本文特别想强调的是第二点，也就是本次攻击与PancakeBunny的同源性。
我们在本文所说的“同源”通俗的理解就是本项目出现的漏洞与PancakeBunny一样。为什么会这样呢？原因就在于Dot?Fiance是分叉自PanacakeBunny的代码，而在分叉复制的过程中，项目方或许是因为疏忽，或许是因为其它原因，并没有对代码进行详细审计，以致PancakeBunny代码中的漏洞也一并复制过来了，而没有得到修正。
独家 | 金色财经2月20日挖矿收益数据播报:金色财经报道，据印比特数据显示，按照BTC参考价格67500元、电价0.38元/kWh计算，当前在售主流BTC矿机的市场价格及回本周期为：芯动T3+-57T（全新现货9700元，309天回本）、阿瓦隆1066-50T（全新现货6300元，239天回本）、神马M20S-68T（全新现货12600元，275天回本）、蚂蚁S17Pro-56T（全新现货12500元，339天回本）。[2020/2/20]
由于本次攻击与PancakeBunny具有同源性，因此我们有必要首先回顾一下PancakeBunny此前受到的攻击情况，这些攻击事件具体如下：
2021年5月20日，PancakeBunny第一次遭遇攻击
2021年5月26日，PancakeBunny第二次遭遇攻击
独家 | 近7天比特币搜索指数整体日均值整体同比上升132%:据百度指数数据，近7天区块链搜索指数整体日均值为3986，整体同比上升91%，移动同比上升83%；近7天比特币搜索指数整体日均值为25498，整体同比上升132%，移动同比上升133%。[2020/2/11]
2021年7月17日，PancakeBunny在Polygon上的版本遭外部攻击
本次DotFinance受到的攻击则与PancakeBunny第二次遭受的攻击是相同的漏洞。具体地说，DotFinance分叉复制了PancakeBunny的收益聚合部分，但没有修正其隐藏的漏洞。
灵踪安全对本次事件的详细分析如下：
在本次攻击中，
攻击者的地址为：0xDFD78a977c08221822F6699AD933869Da6d9720C
独家 | 香港区块链协会创始人：预计三种力量可推动香港证券通证交易平台取得更好进展:香港区块链协会创始人暨联合会长、东方亿泰资本合伙管理人梁捷扬先生向金色财经表达了其对香港证监会刚刚发布的《有关虚拟资产期货合约的警告》和《立场书：监管虚拟资产交易平台》的看法，他表示：
预期未来三种力量的推动，可以让香港的证券通证交易平台取得更好进展。
首先是政策制定者，政策制定者包括两个部分，一个是立法局，必须要对现行的证券期货法规进行修改，取消现有港交所对证券资产的垄断交易地位；第二个是证监会，也必须要意识到未来的业者可以利用科技来进行监管、自律，并且交易的产品也得到品质上的大幅提升。
第二种力量则是从业者必须要高度自律，同时以科技推动监管，也是在自律的基础之上，与科技充分结合起来，避免所有违规行为的发生。
第三种力量自然是来自于发行证券通证的企业和创业者，只有高质量的企业也采取证券通证的方式来推动自己企业投资，或者相关的资本运作。
只有这三种力量充分地结合，才能够推动虚拟资产在香港交易产业的大步发展。[2019/11/6]
攻击合约的地址为：0x33f9bB37d60Fa6424230e6Cf11b2d47Db424C879
独家 | Fomo3D玩法被Retro Block项目升级至“预购分红” 资金监管存重大疑问:第三方大数据评级机构RatingToken最新数据显示，2018年8月20日全球共新增1243个合约地址，其中340个为代币型智能合约。在RatingToken同时发布的“新增代币型智能合约风险榜”中，FourInOne Long Official(FD)、POHMO(POHMO)和duang8(duang8)风险最高排名前三，其中FourInOne Long Official(FD)存在23个安全风险，检测得分为2。
另外RatingToken安全审计团队发出风险提示，类Fomo3D的山寨项目层出不穷，未发布游戏项目出现利用“预购分红”的形式，要求用户提前购买游戏分红配额的案例增加。近期上线的Retro Block项目官网和白皮书都颇为粗糙，更严重的是，80%的众筹金额都会进入finance和jackpot两个个人地址，白皮书所描述的资金分配和监管无任何约束力。官网显示该项目众筹金额已完成soft cap要求的300个 ETH。RatingToken提醒此类“预购分红”玩法无任何有效约束风险极大，请投资者一定谨慎关注。
此外，其他登上该风险榜TOP10的还包括VRclearsky(SKY)、Orderbook GBP(OGBP)、abcdEfg(a2g)、NMB520(嫩模币)、AssetAdviceRCompany(AARC)、多比特币(DOBT)和FairyCoin(Fairy)。如需查看更多智能合约检测结果，请查看原文链接。[2018/8/21]
被攻击的合约为“VaultPinkBNB”，其地址为：0xbfca3b1df0ae863e966b9e35b9a3a3fee2ad8b07
独家 | 高泽龙：稳定、安全、可预测助力马耳他成为交易所的首选之地:如今加密货币交易所币安、OKEx双双落户马耳他，而马耳他也成为交易所“新希望之地”，未来是不是会有更多的交易所进军马耳他，对此金色财经独家采访了国际区块链与数字货币协会副会长高泽龙，他表示：“马耳他能成为交易所首选之地，有很多原因。马耳他是议会民主制度的共和国，也是受到国际社会尊重的中立国，马耳他政府是利商（即亲商）型政府，马耳他拥有出色的信用评级，国际评级机构穆迪给予A3评级。而且其政府的目标就是把这座岛国打造成国际性商务平台，在经济发展上树立楷模，始终在欧盟处于前列。这座岛国经商环境的稳定性、可预测性和安全性，使之在众多的全球金融中心之中脱颖而出，成为欧洲一流金融中心。放眼全世界，能集成这么多优势和利好的主权国家寥寥无几，所以不难理解为什么币安和OK都选择马耳他。”[2018/7/3]
具体在合约“VaultPinkBNB”中，出现漏洞的代码为“getReward()”函数，函数完整代码如下：
函数中具体出现漏洞的代码片段为：
上述代码片段在计算奖励时，_minter.performanceFee(cakeBalance)传入的参数cakeBalance是CAKE代币的余额。攻击者可以在调用getReward前将闪电贷借入的CAKE转入VaultPinkBNB合约，导致产生非预期的performanceFee值，而_minter.mintFor()则根据这个非预期的performanceFee值增发超额的PINK奖励代币。然后攻击者将PINK在Pancake上卖出换为BNB和CAKE，一部分偿还闪电贷，剩余部分则为本次攻击的获利。
这类由项目之间的相互分叉而导致漏洞传导的事件已经不是第一次发生，我们相信未来这类漏洞还会发生。
单就本次攻击及漏洞的来源来看，灵踪安全强烈建议，所有分叉自PancakeBunny或与PancakeBunny同源的项目都应再次审查项目代码是否存在类似的漏洞，对代码进行安全审计。
如果从本次漏洞出现的模式看，所有分叉自其它项目的项目都应提高警惕。这类具有同源性质的多个项目，无论其漏洞本身隐藏得多么深，但只要发生一次、被业界公开，其它的同源项目都应该引起警示并马上着手整改。因为此类漏洞一旦被披露，理论上项目方是有足够的时间来修正问题的。只要项目方在漏洞发生的第一时间对本项目代码进行二次审计和测试，本项目受到后续攻击是完全可以避免的。
因此灵踪安全再次提醒项目方，尤其是分叉自其它项目的项目方，每当同源项目受到攻击时，应立刻着手对本项目代码进行再次审计，避免项目重蹈覆辙。
关于灵踪安全：
灵踪安全科技有限公司是一家专注区块链生态安全的公司。灵踪安全科技主要通过“代码风险检测+逻辑风险检测“的一体化综合方案服务了诸多新兴知名项目。公司成立于2021年01月，团队由一支拥有丰富智能合约编程经验及网络安全经验的团队创建。
团队成员参与发起并提交了以太坊领域的多项标准草案，包括ERC-1646、ERC-2569、ERC-2794，其中ERC-2569被以太坊团队正式收入。
团队参与了多项以太坊项目的发起及构建，包括区块链平台、DAO组织、链上数据存储、去中心化交易所等项目，并参与了多个项目的安全审计工作，在此基础上基于团队丰富的经验构建了完善的漏洞追踪及安全防范系统。
作者：
灵踪安全CEO谭粤飞
美国弗吉尼亚理工大学(VirginiaTech,Blacksburg,VA,USA)工业工程硕士(Master)。曾任美国硅谷半导体公司AIBTInc软件工程师，负责底层控制系统的开发、设备制程的程序实现、算法的设计，并负责与台积电的全面技术对接和交流。自2011至今，从事嵌入式，互联网及区块链技术的研究，深圳大学创业学院《区块链概论》课程教师，中山大学区块链与智能中心客座研究员，广东省金融创新研究会常务理事?。个人拥有4项区块链相关专利、3本出版著作。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。