DOGE:黑客四連擊：Wiener DOGE, Last Kilometer, Medamon以及PIDAO項目被攻擊事件分析

據CertiK安全團隊監測，, Wiener DOGE項目于北京時間2022年4月24日下午4時33分被惡意利用，造成了3萬美元（折合人民幣約12.6萬）的損失。攻擊者利用WDODGE的收費機制和交換池之間的不一致，發起了攻擊。

事件發生的根本原因是：通過緊縮的代幣合約造成發送方的LP對沒有被排除在轉賬費用之外。因此，攻擊者能夠將LP對中的通貨緊縮代幣耗盡，進而導致貨幣對價格失衡。

而隨后于同一天接連發生了另外三起惡意利用：

同天下午6時20分，Last Kilometer項目被閃電貸攻擊利用，造成了26495美元（折合人民幣約17萬）的損失；

EraLend：建議黑客將90%的資金返還，保留被盜資金的10%作為白帽賞金:金色財經報道，zkSync生態借貸協議EraLend在社交媒體上發布致黑客的一封信。EraLend稱，我們知道，在昨天的入侵事件中，你本可以耗盡所有可用的流動資金，但你卻選擇只利用一部分。我們認為這是你的 \"善意 \"表達，或者是對受害者的潛在關注，或者是對如此嚴重的攻擊所造成的廣泛影響的關注。

然而，你們的行為是非法的，不僅對50萬EraLend用戶，而且對整個DeFi社區都造成了破壞性影響。我們已經與安全專業人士、CEX、更廣泛的DeFi安全社區以及執法機構進行了接觸。我們正在追蹤你們在攻擊前后留下的痕跡。無論是鏈上還是鏈下。

這是我們的建議：在7月27日（UTC）14:00之前將90%的資金返還到以下地址，我們將停止追捕你。你可以和平保留被盜資金的10%作為白帽賞金。接收錢包地址是；0x9eEE479DCf6075a0cb905c27e8F952910c3bb69D。

如果在截止日期前仍未歸還資金，我們將別無選擇，只能將此事升級。交易將被終止，我們將立即為任何幫助我們起訴你們并追回被盜資金的個人或組織設置另一項懸賞。現在是做正確事情的時候了。[2023/7/27 16:01:40]

同天晚上9時45分，Medamon項目被閃存貸攻擊利用，造成3159美元（折合人民幣約2萬）的損失；

消息人士：億萬富翁Steve Cohen聘請黑客“AcidPhreak”為其加密初創公司首位交易員:金色財經報道，據消息人士稱，對沖基金億萬富翁Steve Cohen聘請了知名黑客“AcidPhreak”為其加密初創公司的首位交易員，也是該公司迄今為止唯一的投資組合經理。AcidPhreak是技術專家和投資者Elias Ladopoulos的化名，曾與Phiber Optik(Mark Abene)和Scorpion(Paul Stira)一起創立了著名黑客組織Masters of Deception(MOD)。

兩位知情人士透露，Elias Ladopoulos于6月加入Steve Cohen的鏈上投資部門。據悉，作為長期的量化和區塊鏈愛好者，Ladopoulos已經通過Raptor Group等公司投資了多家風險投資公司，他還擁有豐富的人工智能經驗，包括機器學習技術。（Blockworks）[2022/8/20 12:36:47]

緊接著， PI-DAO項目被閃存貸攻擊利用，造成了6445（折合人民幣約4萬）美元的損失。

ETC Labs首席執行官：黑客能利用租用算力攻擊PoW區塊鏈是巨大問題:金色財經報道，Ethereum Classic Labs首席執行官Terry Culver表示，黑客能夠利用租用的算力對工作量證明（PoW）區塊鏈進行51%攻擊，這實際上是系統中的一個巨大漏洞。據悉，使用租用的算力對ETC進行51%攻擊將花費大約3800美元。[2020/9/12]

這一系列攻擊的攻擊者與攻擊方法，與同一天早些時候發生的Wiener DOGE相同。

攻擊者通過閃電貸獲得了2900枚BNB。

攻擊者將2900枚BNB換成了6,638,066,501,83枚WDOGE

Bitfinex懷疑再次遭到黑客攻擊:加密貨幣交易所Bitfinex表示，黑客可能正試圖通過所謂的拒絕服務攻擊阻止用戶訪問Bitfinex。Bitfinex周二在其網站上表示，“Bitfinex正處在超負荷的狀態。團隊正在調查這個問題，似乎DDoS攻擊是在我們重新啟動平臺后不久發起的。明顯的攻擊是阻止用戶訪問本交易所。”今日早些時候，Bitfinex因進行“計劃外”網站維護而暫停交易服務。[2018/6/5]

WdogE : 199,177,850,468

WBNB: 2978

LP的狀態：

將5,974,259,851,654枚WDOGE發送到LP，由于WDOGE比BNB多，所以LP現在處于不平衡狀態。

WDOGE : 5,178,624,112,169

WBNB : 2978

調用skim()函數，從LP中取回4,979,446,261,701枚WDOGE。由于攻擊者在調用skim()之前發送了大量的WDOGE，所以LP將支付大量的費用。這一操作清空了LP內的WDOGE的數量。

攻擊者還調用可sync()函數來更新LP內的儲備值。若干枚WDOGE和2978枚BNB的存在，造成了WDOGE的價格與WBNB相比異常昂貴。

5. 最后，攻擊者用剩下的WDOGE換回了2978枚BNB，償還了閃電貸，賺取了78枚BNB。

而其他幾個項目被攻擊的流程步驟也相似：

閃電貸取得WBNB，并用WBNB換取LP中的通縮代幣；

直接將通縮的代幣轉移到LP對上；

調用skim()函數，迫使LP對輸回通縮代幣；

由于轉讓費的存在，攻擊者會重復步驟2~3，將LP對中的通縮代幣耗盡；

通過LP對中的價格不平衡來獲取利潤。

當用戶（或LP）轉移一定數量的WDOGE時，除了費用，還有4%的代幣將被銷毀。

因此，如果LP發送100枚WDOGE，其余額將減少104枚WDOGE。

所以，LP應該被排除在費用和代幣銷毀之外。

CertiK審計專家認為：如果同時對代幣和LP合約進行審計，這個漏洞就可能被發現。然而，如果只有代幣合約被審計，那么交換機制將被視為一個外部依賴。而這種情況在審計過程中將會指出第三方依賴風險。具體為：如果是代幣合約，CertiK審計專家將會與項目方討論，確認是否需要除去LP對的手續費；如果是LP對方的合約，CertiK審計專家會提出通縮幣的討論，并且提醒項目方可能存在的風險。

作為區塊鏈安全領域的領軍者，CertiK致力于提高加密貨幣及DeFi的安全和透明等級。迄今為止，CertiK已獲得了3200家企業客戶的認可，保護了超過3110億美元的數字資產免受損失。

Tags：DOGEDOGWDOWDOGaidoge幣最新消息熱議DOG小狗幣還可以買嗎WDO價格WDOGE

LTC