ANC:一個小數點造成數百萬美元蒸發，Fantasm Finance攻擊事件分析

北京時間2022年3月9日21:50，CertiK安全專家團隊檢測到FantasmFinance抵押池被惡意利用。

攻擊者鑄造了大量的XFTM代幣，并將其交易為ETH，總損失約為1000ETH。

下文CertiK安全團隊將從合約地址及攻擊操作等方面為大家進行詳細的解讀并分析。

https://ftmscan.com/tx/0x64da8b8043b14fe93f7ab55cc56ccca2d190a59836a3f45dbb4b0a832e329cac?

https://ftmscan.com/tx/0xa84d216a1915e154d868e66080c00a665b12dab1dae2862289f5236b70ec2ad9?

Frax Finance近一個月質押ETH數量達3萬枚，躋身第三大以太坊流動性質押協議:2月5日消息，據Dune Analytics數據顯示，Frax Finance目前質押ETH達8.1萬枚，已超越Stakewise躋身第三大以太坊流動性質押協議。據悉，Frax Finance近一個月質押ETH數量超3萬枚，僅次于Lido（18.4萬枚）、RocketPool（4.2萬枚）。[2023/2/5 11:48:19]

①攻擊者在地址0x944b58c9b3b49487005cead0ac5d71c857749e3e部署了一個未經驗證的合約。

②在第一個tx中，攻擊者將Fantom代幣(FTM)換成FSM代幣，并在合約0x880672ab1d46d987e5d663fc7476cd8df3c9f937中調用mint()函數。

Meta大中華區總裁梁幼莓：元宇宙可能是企業下一個最大機遇:金色財經報道，Meta大中華區總裁梁幼莓對行業過往總結以及未來的展望時表示，在一段時間以內，人們主要還是通過2D應用來獲得元宇宙體驗。目前，Meta正專注于搭建“橋梁”，以便將2D應用無縫連接到更具沉浸感的虛擬3D元宇宙中。從長遠來看，適用于商用的此類應用會有很多，而且非常令人期待。盡管元宇宙的諸多方面可能需要十年才能初具規模，但企業現在完全可以行動起來，利用可以支持實現元宇宙的技術與客戶展開互動。那些能夠真正將Meta旗下平臺的創造力發揮出來的企業，不僅能夠提高客戶的體驗，其自身也會在未來元宇宙的世界里處于非常有利的位置。Meta的愿景是，未來十年元宇宙可以覆蓋10億人群。（鈦媒體）[2022/2/20 10:03:10]

③攻擊者調用collect()函數，以此鑄造了超出權限更多的XFTM代幣。

聲音 | 中國政法大學胡繼曄：區塊鏈只是一個中性的技術:金色財經報道，中國政法大學區塊鏈金融法治研究中心主任胡繼曄表示，很多人誤解，以為區塊鏈就是虛擬貨幣。區塊鏈只是一個中性的技術，是一個基于分布式賬本的技術，有些不法分子打著區塊鏈的旗號發幣，是在打著技術的幌子進行詐騙。[2019/12/4]

④攻擊者多次重復步驟②和③，造成FantasmFinance巨額損失。

在函數calcMint中，合約使用以下公式來計算鑄幣量：

_xftmOut=(_fantasmIn*_fantasmPrice*COLLATERAL_RATIO_MAX*(PRECISION-mintingFee))/PRECISION/(COLLATERAL_RATIO_MAX-collateralRatio)/PRICE_PRECISION。

聲音 | Charlie Shrem：Mt.Gox是第一個創造“債務代幣”的公司而不是Bitfinex:據AMBCrypto消息， 比特幣企業家Charlie Shrem討論了Mt. Gox的故事。當85萬BTC失蹤或被盜時，Mt. Gox面臨著無法預料的阻礙。Shrem強調，當時該交易所有兩種比特幣可供選擇；一個是原始比特幣（BTC），另一個是Mt.Gox的比特幣，也就是“你可以在Mt.Gox系統中交易的假比特幣”。這導致了購買Gox BTC的二級市場的形成，該市場“本質上是在Mt.Gox突然崩潰之前不能從該交易所轉移走的比特幣”。 Shrem聲稱，即使Mt. Gox突然崩潰，市場也創造了自己的債務代幣，盡管Bitfinex聲稱是第一個發行旨在償還債務的代幣。Charlie Shrem注意到Mt.Gox的債權人Josh Jones創造了一個系統來把Mt.Gox BTC換成真正的BTC。當時的加密用戶可以以折扣價將Gox BTC換成真正的BTC，以擺脫黑客攻擊后留下的爛攤子。[2019/5/20]

由于小數點錯誤，導致_xftmOut最終的值遠遠大于代碼的設計初衷。

寫在最后

本次事件主要是由合約公式計算錯誤引起的。

只需通過適當的同行評審、單元測試和安全審計，這一類型的風險往往極易避免。

在加密世界里大家一提到漏洞，往往會認為漏洞必然是很復雜的，其實并非總是如此。有時一個小小的計算錯誤，就可以導致數百上千萬美元的資產一朝蒸發。

本次事件的預警已于第一時間在CertiK項目預警推特進行了播報。

除此之外，CertiK官網https://www.certik.com/也已添加社群預警功能。大家可以隨時訪問查看與漏洞、黑客襲擊以及RugPull相關的各種社群預警信息。

近期攻擊事件高發，加密項目方及用戶們應提高相關警惕并及時對合約代碼進行完善和審計。

除此之外，技術團隊應及時關注已發生的安全事件，并且檢查自己的項目中是否存在類似問題。

參考鏈接：

1.?https://blocksecteam.medium.com/the-analysis-of-the-array-finance-security-incident-bcab555326c1

2.https://peckshield.medium.com/xwin-finance-incident-root-cause-analysis-71d0820e6bc1

3.https://peckshield.medium.com/pancakebunny-incident-root-cause-analysis-7099f413cc9b

4.https://www.certik.io/blog/technology/copycat-attack-balancer-why-defi-needs-change#home

5.https://www.certik.org/blog/uranium-finance-exploit-technical-analysis

6.https://www.certik.io/blog/technology/little-pains-great-gains-balancer-defi-contract-was-drained#home

7.https://www.certik.io/blog/technology/yam-finance-smart-contract-bug-analysis-future-prevention#home

Tags：ANCNCEGOXFINMeta FinanceSCIENCE幣GOX價格Your Finance

XRP