AGO:損失近2070萬美元 防不勝防？Popsicle Finance被攻擊事件全解析

8月4日，鏈必安-區塊鏈安全態勢感知平臺（Beosin-Eagle Eye）輿情監測顯示，跨鏈收益率提升平臺Popsicle Finance下Sorbetto Fragola產品遭到攻擊，導致了約2070萬美元的損失，攻擊者共獲利2.6K WETH，5.4M USDC，5M USDT，160K DAI,10K UNI，和96 WBTC。

攻擊如何發生 Event overview

首先，跟我們了解一下Popsicle Finance是什么？

這是一個很有意思的項目，主要做跨鏈流動性挖礦。在DeFi 大熱的時候，大家都在找流動性挖礦的機會，希望讓自己的資產收益最大化。但因以太坊主網 gas 費用居高不下，給了二層、側鏈、其他區塊鏈迅速發展壯大的機會。在多鏈時代下，Popsicle Finance就在這樣的背景下誕生了。

慢霧：LendHub疑似被攻擊損失近600萬美金，1100枚ETH已轉移到Tornado Cash:金色財經報道，據慢霧區情報，HECO生態跨鏈借貸平臺LendHub疑似被攻擊，主要黑客獲利地址為0x9d01..ab03。黑客于1月12日從Tornado.Cash接收100ETH后，將部分資金跨鏈到Heco鏈展開攻擊后獲利，后使用多個平臺（如TransitSwap、Multichain、Uniswap、Curve和OptimismBridge）跨鏈或兌換被盜資金。截至目前，黑客已分11筆共轉1,100ETH到Tornado.Cash。被攻擊的具體原因尚待分析，慢霧安全團隊將持續跟進此事件。[2023/1/13 11:10:43]

在遭到黑客攻擊后，Popsicle Finance團隊成員立即發推表示，目前僅有 Sorbetto Fragola 一款產品受到影響。團隊將在幾周內修復漏洞并對用戶損失進行賠償。

BBUEX交易平臺跑路，損失近8萬人民幣:BBUEX交易平臺已經跑路，損失近8萬人民幣。該平臺在非小號上依然顯示24小時有1.99億美金的成交額。常規套路是一個模仿火幣的UI，通過帶單老師“手把手”進行操作，目前帶單老師表示“解散”。（吳說區塊鏈）[2021/5/8 21:37:48]

攻擊者如何得手 Event overview

攻擊者地址：

0xf9E3D08196F76f5078882d98941b71C0884BEa52

攻擊合約：

A：

0xdfb6fab7f4bc9512d5620e679e90d1c91c4eade6

B：

0x576Cf5f8BA98E1643A2c93103881D8356C3550cF

C：

0xd282f740Bb0FF5d9e0A861dF024fcBd3c0bD0dc8

因誤操作損失近5萬美元的加密用戶獲贈1.1萬美元:12月30日消息，此前因誤操作損失了大約5萬美元的加密用戶Dawid最終獲得了1.1萬美元的捐款。Aavegotchi聯合創始人Jesse Johnson報告稱，他們在圣誕節當天通過200多筆存款向Dawid發送了大約價值11000美元的代幣。此前12月16日消息，一位名為Dawid的用戶誤將價值4.7萬美元的LINK發送到了Aavegotchi的代幣GHST的質押合約地址，導致丟幣。據悉，損失的資金是Dawid的畢生積蓄，其在社區尋找幫助，對此，Aavegotchi官方發起捐贈，并表示在圣誕節當天，SantaGotchi錢包中獲得的資金都將發送給Dawid。（Cointelegraph）[2020/12/30 16:04:50]

攻擊交易：

0xcd7dae143a4c0223349c16237ce4cd7696b1638d116a72755231ede872ab70fc

比利時一年中遭受加密貨幣騙局損失近1000萬歐元:比利時金融服務與市場管理局（FSMA）近日透露，從2019年5月到2020年9月，比利時人在加密貨幣欺詐和騙局中損失了近1000萬歐元。FSMA表示：“這些平臺通常使用非常激進的方法來說服用戶投資更大的資金。他們還將嘗試說服用戶讓他們遠程控制你的計算機，以便能夠進行某些付款。”FSMA已經在2018年向用戶通報了潛在的加密貨幣欺詐和活動。自那之后，詐騙份子又在其“投資產品”清單上增加了虛假信用證明。FSMA說，這些人聲稱以優惠條件提供貸款，但實際意圖是竊取資金。(Cryptopotato)[2020/10/11]

攻擊者使用相同的攻擊方式獲利了多種代幣，以下以USDT為例分析：

Round 1

攻擊者使用合約A通過閃電貸獲取USDT和ETH。

動態 | 加密貨幣采礦公司Hut 8 2018年總損失近1.4億美元:據Cointelegraph消息，根據5月6日加密貨幣采礦公司Hut 8發布的年度收益報告，2018年Hut 8收入接近5000萬美元，但總損失近1.4億美元。該公司高管稱，隨著時間進入2019年，公司將繼續謹慎、專注地管理運營。2018年底進行了削減成本的舉措，將把握比特幣價格上漲機遇提高利潤率。[2019/5/8]

Round 2

通過合約A調用SorbettoFragola的deposit函數獲取憑證代幣PLP。

Round 3

將PLP發送給合約B并執行SorbettoFragola的collectFee函數，這時輸入的amount均為0，更新合約B的獎勵參數。之后將PLP發送到合約C，進行同樣的操作。合約C完成操作后將PLP發送回合約A。

因為合約B、C持幣，所以會計算更新其獎勵（不隨代幣轉移清空），更新后的數值如下圖所示：

Round 4

合約A執行SorbettoFragola的withdraw函數，銷毀PLP代幣。取出本金后更新相關參數為最新。

Round 5

接著合約B與合約C再度執行collectfee函數。

輸入的amount為上面更新后的數值tokenReward。

這時因為滿足此處條件，所以會到pool地址（UNIV3的對應交易對地址）去移除流動性，并將代幣發送給合約B、C。

Round 6

合約C再次調用collectfee函數獲利。

此時amount如下圖所示：

最后，滿足調用pay函數的條件，通過pay函數向合約C發送代幣。

事件復盤

我們需要注意什么 Case Review

Popsicle Finance最初管理的是跨鏈流動性，于6月26日推出Sorbetto Fragola 以管理Uniswap v3流動性。

項目方應該也沒有預料到，黑客會在今日進行攻擊，導致了約2070萬美元的損失。可見，安全預判是多么重要。

注意

成都鏈安在此建議，對于項目方而言，在PLP轉移時，應該重新計算并更新PLP發送方與接收方的獎勵值，避免獎勵重復發放。此外，項目的邏輯缺陷一定要得到重視。

Tags：AGOETTFRAFRAGagoric幣估值Vetter SkylabsFrax ShareFragments of arker

芝麻開門交易所下載