BNB:卷土重來？黑客獲利約130萬美元 FEGexPRO合約被攻擊事件分析

2022年5月16日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，Ethereum和BNB Chain上FEGtoken項目的FEGexPRO合約遭受黑客攻擊，黑客獲利約3280?BNB?以及144 ETH，價值約130萬美元。成都鏈安技術團隊對事件進行了分析，結果如下。

事件相關信息

本次攻擊事件包含多筆交易，部分交易信息如下所示：

攻擊交易?(部分)

0x77cf448ceaf8f66e06d1537ef83218725670d3a509583ea0d161533fda56c063?(BNB Chain)

640,000,000 DOGE發生轉移:金色財經報道，據Whale Alert監測顯示，北京時間約00:06，640,000,000 DOGE (價值約46,506,098美元) 從未知錢包轉移到未知錢包。[2023/6/5 21:15:42]

0x1e769a59a5a9dabec0cb7f21a3e346f55ae1972bb18ae5eeacdaa0bc3424abd2?(Ethereum)

攻擊者地址

0x73b359d5da488eb2e97990619976f2f004e9ff7c

攻擊合約

0x9a843bb125a3c03f496cb44653741f2cef82f445

被攻擊合約（部分）

0x818e2013dd7d9bf4547aaabf6b617c1262578bc7?(BNB Chain)

美國SEC對加密初創公司LBRY 2200萬美元的罰單降為11.1 萬美元:金色財經報道，在向新罕布什爾州地方法院提交的一份文件中，美國證券交易委員會以加密初創公司LBRY \"缺乏資金和瀕臨倒閉 \"為由，要求法院對其處以111614美元的罰款，而不是尋求原來的2200萬美元。

據悉，美國證券交易委員會于2021年3月首次對LBRY提起民事訴訟，指控該公司的LBC銷售是未注冊的證券發行。要求賠償2200萬美元，并要求法院命令LBRY停止任何進一步的LBC銷售。美國證券交易委員會在2022年11月贏得了此案，之前的法官也裁定LBC是一種證券。[2023/5/15 15:02:49]

0xf2bda964ec2d2fcb1610c886ed4831bf58f64948 (Ethereum)

Ethereum和BNB Chain上使用攻擊手法相同，以下分析基于BNB Chain上攻擊：

麥肯錫、騰訊和埃森哲部分高管加入Animoca Brands:7月22日消息，近期部分原麥肯錫、騰訊和埃森哲高管加入了 Animoca Brands，包括原騰訊微保董事長劉家明（任 Animoca Brands 首席商務官）、原騰訊國際業務集團（IBG）高級業務發展總監 Benny Ho（任 Animoca Brands 業務發展主管）、原麥肯錫高管 Brian Chan（任 Animoca Brands 運營和項目副總裁）、原埃森哲高管 Kenneth Shek（任 Animoca Brands 項目管理總監）。此外，原 Gerson Lehrman Group 大中華區業務總經理 Minh Do、高級財務副總裁 Joanne Chan 也已加入 Animoca Brands，任聯合首席運營官與副首席財務官副首席財務官。（The Block）[2022/7/22 2:30:48]

1. 攻擊者調用攻擊合約（0x9a84...f445）利用閃電貸從DVM合約（0xd534...0dd7)中借貸915.84 WBNB，然后將116.81 WBNB兌換成115.65 fBNB為后續攻擊做準備。

Polkadot公布新一代治理系統Gov2，將在代碼審核后上線Kusama網絡:金色財經消息，Polkadot公布新一代治理系統Gov2，任何用戶都可以隨時開始公投，投票次數沒有明確限制。其中所有的公投都需基于一個提案，并允許提案人指定提案來源，且既可以對應于一個來源，也可由多個來源組成。一旦公投進入決定狀態，那么就有資格獲得批準（僅持續28天），如果到期未獲批準，則默認拒絕。經過最終的專業代碼審核后，Gov2將在Kusama上線，而整體治理系統的更新“Gov2.5”計劃在幾個月后最終部署。[2022/7/19 2:23:04]

2. 攻擊者利用攻擊合約創建了10個合約，為后續攻擊做準備。

巴西聯邦稅務局要求公民對加密貨幣交易納稅:金色財經報道，巴西聯邦稅務局希望投資者為加密貨幣交易利潤納稅。巴西聯邦儲備委員會(RFB)宣布，巴西加密資產市場的投資者必須為涉及加密貨幣的同類交易支付所得稅。RFB的聲明發表在Diário official da Uni?o上，是該國公民向監管機構咨詢的結果。去年年底，該組織發表了一份意見，聲稱加密貨幣對之間的交易即使沒有兌換為雷亞爾(巴西的國家貨幣)也要征稅。它指出，“當一種加密貨幣被直接用于購買另一種加密貨幣時，即使購買的加密貨幣之前沒有轉換成雷亞爾或其他法定貨幣，通過出售加密貨幣計算出的資本利得也由個人所得稅征稅。”

自2016年以來，巴西加密貨幣市場的投資者被要求向監管機構申報他們的加密資產。（cointelegraph）[2022/5/26 3:42:41]

3. 攻擊者接下來將兌換得到的fBNB代幣抵押到FEGexPRO合約（0x818e...8bc7）中。

4. ?然后攻擊者重復調用depositInternal和swapToSwap函數，讓FEGexPRO合約授權fBNB給之前創建好的其他攻擊合約。

5. ?然后利用其他攻擊合約調用transferFrom函數將FEGexPRO合約中fBNB全部轉移到攻擊合約（0x9a84...f445）中。

6. 接下來又在LP交易對合約（0x2aa7...6c14)中借貸31,217,683,882,286.007211154 FEG代幣和423 WBNB。

7. 然后重復3、4、5步驟的攻擊手法，將FEGexPRO合約中大量FEG代幣盜取到攻擊合約中。

8. 然后歸還閃電貸，將獲得的WBNB轉入攻擊合約中完成此筆攻擊。

9. 此后，又利用相同的原理，執行了50余筆相同的攻擊，最獲利約144 ETH和3280 BNB。

本次攻擊主要利用了FEGexPRO合約中swapToSwap函數中path地址可控且合約中未對path地址進行有效性校驗的漏洞。由于合約中depositInternal函數中更新用戶余額時依賴于合約中當前代幣余額，攻擊者通過傳入一個惡意的path地址，調用swapToSwap函數時合約中代幣余額并未發生變化，導致攻擊者可以反復重置攻擊合約在FEGexPRO合約中記錄的代幣數量，從而讓FEGexPRO合約將自身代幣反復授權給攻擊者所控制的多個惡意合約。

截止發文時，被盜資金仍在攻擊者地址（0x73b3...ff7c）中并未轉移。

針對本次事件，成都鏈安技術團隊建議：

項目開發時，應該注意與其他合約交互時可能存在的安全風險，盡量避免將關鍵參數設置為用戶可控。如果業務需求如此，則需要嚴格判斷用戶輸入的參數是否存在風險。此外建議項目上線前選擇專業的安全審計公司進行全面的安全審計，規避安全風險。

Tags：BNBFEG加密貨幣XPROBNBeanstalkFEG Token穩定幣和加密貨幣的關系0XPROOF幣

以太坊