2020年，闪电贷攻击频发，成为安全事故中的“新常态”。
2021年，对于黑客来说，闪电贷攻击看起来依旧是“盛宠不衰”。
北京时间2月9日，CertiK安全技术团队发现智能DeFi收益聚合器BT.Finance遭受黑客攻击。
BT.Finance已暂时停止了向Curve.fi存款，以防止再次被攻击。受攻击的策略包括ETH、USDC和USDT，其他策略不受影响。
BT.Finance表示，有用于保险和赔偿的管理资金，为了投资者和DeFi的良好发展，希望黑客能够将资金归还。
Baby Doll项目遭到闪电贷攻击:金色财经消息，据CertiK监测，Baby Doll (BABYDOLL) 项目遭到闪电贷攻击，损失25枚BNB（约7,900美元）。BSC合约地址: 0x449cfecbc8e8469eeda869fca6cccd326ece0c04a1cdd96b23d21f3b599adee2[2023/2/19 12:15:31]
此外，BT.Finance提款费用保护使这次攻击的损失减少了近14万美元。ICOAnalytics对此表示，受影响资金约为150万美元。
CertiK安全技术团队立即展开分析，现将攻击流程细节分析如下：
Cream Finance闪电贷攻击者转移1473枚ETH:8月3日消息，据派盾（PeckShield）监测，DeFi抵押借贷协议Cream Finance闪电贷攻击者将1473枚ETH（约合240万美元）转入地址（0x7c05...d65f2d）。
据此前报道，去年10月，Cream Finance遭闪电贷攻击，被盗资产价值约1.17亿美元。[2022/8/3 2:55:28]
攻击者首先从dydx中使用闪电贷借出约100000个ETH。
攻击者将大约57000个ETH存到CurvesETH池中。
Fairyproof：LP价格采用加权平均无法有效预防闪电贷:3月22日消息，Fantom上部署的DeFi应用OneRing Finance遭到攻击。本次攻击黑客的地址为Fantom上的0x12EfeD3512EA7b76F79BcdE4a387216C7bcE905e。黑客借助部署在0x6A6d593ED7458B8213fa71F1adc4A9E5fD0B5A58上的攻击合约发起了本次攻击。由于该合约在特定区块会自行注销，这使得外界难以追踪OneRing上具体哪个函数被调用从而引发了本次攻击。
在攻击中黑客首先利用Celer Network的cBridge通过跨链获得了发起攻击的GAS。接下来在部署上述攻击合约后的15分钟，通过闪电贷向Solidly借到80,000,000USDC，通过推高LP价格，改变了OShare代币的价格，从协议获取大量OShare代币，掏空了OneRing的资产。黑客最终将盗取的资金从Fantom跨链转回到以太坊并最终通过Tornado.Cash套现。
在本次攻击中，Fairyproof发现该协议计算LP价格的方式不合适，本协议使用的计算方式使得LP价格是瞬时价格，因此极易被操纵。[2022/3/22 14:11:03]
攻击者从CurvesETH池中取出sETH，由于存入了大量的ETH，导致sETH的价格上升，此时攻击者取出了约35000个sETH。
攻击者将大约4340个ETH存入bt.financeETH策略池中。
攻击者调用earn函数。
攻击者将步骤3中取出的sETH全部存入CurvesETH池中并取出ETH，最后触发bt.financeETH策略池的withdraw函数，取出全部存入该池中的ETH。
重复上述2-5步骤5次，并归还闪电贷，完成获利。
攻击者单次攻击进行的交易
攻击者进行了五次相同的攻击
安全建议
高收益必定伴随着高风险。
区块链的每一个应用版块几乎都包含了智能合约，而针对底层代码和设计模式的安全审计是保护项目的首要之事。
CertiK再次建议项目方注意规避风险，投资者在投资前认准项目是否具备完整的安全审查及后续的安全保障。
截止到2020年底，CertiK已经进行了超过369次的安全审计，审计了超过198,000行代码，并保护了价值超过100亿美元的加密资产。
参考链接
0xc71cea6fa00d11e98f6733ee8740f239cb37b11dec29e7cf85d7a4077977fa65
https://twitter.com/doug_storming/status/1358896348276391939?s=20
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。