比特幣行情 比特幣行情
Ctrl+D 比特幣行情
ads

ANC:獨家 | 靈蹤安全:閃電貸攻擊繼續 Dot Finance攻擊事件分析

Author:

Time:1900/1/1 0:00:00

本文由“靈蹤安全”原創,授權“金色財經”獨家發布。

8月25日,BSC鏈上的收益聚合應用Dot.Finance受到閃電貸攻擊。受本次攻擊事件的影響,項目代幣PINK在短時內發生暴跌,從0.77美元跌至0.5美元。

這次攻擊事件中有兩點值得我們注意:

一是閃電貸再次成為黑客的工具,將攻擊的后果放大。

二是本次攻擊與前陣子PancakeBunny受到的攻擊同源。

關于“閃電貸”,我們已經在往期的文章中多次介紹:它不是攻擊的元兇而只是攻擊利用的手段。本文特別想強調的是第二點,也就是本次攻擊與PancakeBunny的同源性。

我們在本文所說的“同源”通俗的理解就是本項目出現的漏洞與PancakeBunny一樣。為什么會這樣呢?原因就在于Dot?Fiance是分叉自PanacakeBunny的代碼,而在分叉復制的過程中,項目方或許是因為疏忽,或許是因為其它原因,并沒有對代碼進行詳細審計,以致PancakeBunny代碼中的漏洞也一并復制過來了,而沒有得到修正。

獨家 | BTC24h鏈上交易量下降15.28%:據歐科云鏈OKLink數據顯示,2020-06-22 BTC 24h 鏈上活躍地址數總計713569,較前日下降7.22% ;鏈上交易量總計267230.12 BTC,較前日下降15.28% ;鏈上交易筆數總計259440,較前日下降8.69% ;BTC鏈上活躍度下降。

截至上午10時,全網算力約為106.22EH/s,較前日上升0.31EH/s,全網算力呈上升趨勢。[2020/6/22]

由于本次攻擊與PancakeBunny具有同源性,因此我們有必要首先回顧一下PancakeBunny此前受到的攻擊情況,這些攻擊事件具體如下:

2021年5月20日,PancakeBunny第一次遭遇攻擊

2021年5月26日,PancakeBunny第二次遭遇攻擊

獨家 | Bakkt期貨合約數據一覽:金色財經報道,Bakkt Volume Bot數據顯示,5月14日,Bakkt比特幣月度期貨合約單日交易額為2343萬美元,同比增長26%,未平倉合約量為744萬美元,同比下降12%。[2020/5/15]

2021年7月17日,PancakeBunny在Polygon上的版本遭外部攻擊

本次DotFinance受到的攻擊則與PancakeBunny第二次遭受的攻擊是相同的漏洞。具體地說,DotFinance分叉復制了PancakeBunny的收益聚合部分,但沒有修正其隱藏的漏洞。

靈蹤安全對本次事件的詳細分析如下:

在本次攻擊中,

攻擊者的地址為:0xDFD78a977c08221822F6699AD933869Da6d9720C

獨家 | OKEx高級分析師:杠桿ETF只適合專業投資者用來進行風險對沖或短期投機:金色財經報道,近日,關于杠桿ETF的相關問題,金色財經獨家采訪了OKEx高級分析師William,William表示,杠桿ETF與ETF不同,在傳統金融市場中,ETF適合投資者進行長期投資,但杠桿ETF只適合專業投資者用來進行風險對沖或短期投機,不適合普通民眾來進行中長期投資,長期持有風險極高,因為杠桿ETF由于再平衡機制會出現損耗,時間越長,損耗越多;這個時間點推出ETF,最主要的還是來源于市場競爭的壓力。在最近的一兩年里,加密衍生品市場已經出現了永續合約、期權、掉期、杠桿ETF等產品,你會發現這個市場發展十分迅速。傳統資本市場用了幾十年,上百年才逐漸完善的金融工具,在加密衍生品市場短短幾年就開始出現,這也反映了加密數字貨幣交易行業的競爭十分激烈:一旦平臺不能推出受市場歡迎的創新產品,很有可能被市場淘汰。[2020/2/20]

攻擊合約的地址為:0x33f9bB37d60Fa6424230e6Cf11b2d47Db424C879

獨家 | 匿名貨幣板塊下跌7.06% 42幣種7漲22跌13平:非小號數據顯示,今日匿名貨幣板塊下跌7.06%,42幣種7漲22跌13平。漲幅前三分別為:EUNO(+30.52%)、VDS(+17.40%)、TPAY(+7.89%);跌幅前三分別為:PRIX(-28.49%)、PIVX(-16.57%)、DASH(-13.35%)。[2020/2/17]

被攻擊的合約為“VaultPinkBNB”,其地址為:0xbfca3b1df0ae863e966b9e35b9a3a3fee2ad8b07

具體在合約“VaultPinkBNB”中,出現漏洞的代碼為“getReward()”函數,函數完整代碼如下:

函數中具體出現漏洞的代碼片段為:

上述代碼片段在計算獎勵時,_minter.performanceFee(cakeBalance)傳入的參數cakeBalance是CAKE代幣的余額。攻擊者可以在調用getReward前將閃電貸借入的CAKE轉入VaultPinkBNB合約,導致產生非預期的performanceFee值,而_minter.mintFor()則根據這個非預期的performanceFee值增發超額的PINK獎勵代幣。然后攻擊者將PINK在Pancake上賣出換為BNB和CAKE,一部分償還閃電貸,剩余部分則為本次攻擊的獲利。

這類由項目之間的相互分叉而導致漏洞傳導的事件已經不是第一次發生,我們相信未來這類漏洞還會發生。

單就本次攻擊及漏洞的來源來看,靈蹤安全強烈建議,所有分叉自PancakeBunny或與PancakeBunny同源的項目都應再次審查項目代碼是否存在類似的漏洞,對代碼進行安全審計。

如果從本次漏洞出現的模式看,所有分叉自其它項目的項目都應提高警惕。這類具有同源性質的多個項目,無論其漏洞本身隱藏得多么深,但只要發生一次、被業界公開,其它的同源項目都應該引起警示并馬上著手整改。因為此類漏洞一旦被披露,理論上項目方是有足夠的時間來修正問題的。只要項目方在漏洞發生的第一時間對本項目代碼進行二次審計和測試,本項目受到后續攻擊是完全可以避免的。

因此靈蹤安全再次提醒項目方,尤其是分叉自其它項目的項目方,每當同源項目受到攻擊時,應立刻著手對本項目代碼進行再次審計,避免項目重蹈覆轍。

關于靈蹤安全:

靈蹤安全科技有限公司是一家專注區塊鏈生態安全的公司。靈蹤安全科技主要通過“代碼風險檢測+邏輯風險檢測“的一體化綜合方案服務了諸多新興知名項目。公司成立于2021年01月,團隊由一支擁有豐富智能合約編程經驗及網絡安全經驗的團隊創建。

團隊成員參與發起并提交了以太坊領域的多項標準草案,包括ERC-1646、ERC-2569、ERC-2794,其中ERC-2569被以太坊團隊正式收入。

團隊參與了多項以太坊項目的發起及構建,包括區塊鏈平臺、DAO組織、鏈上數據存儲、去中心化交易所等項目,并參與了多個項目的安全審計工作,在此基礎上基于團隊豐富的經驗構建了完善的漏洞追蹤及安全防范系統。

作者:

靈蹤安全CEO譚粵飛

美國弗吉尼亞理工大學(VirginiaTech,Blacksburg,VA,USA)工業工程碩士(Master)。曾任美國硅谷半導體公司AIBTInc軟件工程師,負責底層控制系統的開發、設備制程的程序實現、算法的設計,并負責與臺積電的全面技術對接和交流。自2011至今,從事嵌入式,互聯網及區塊鏈技術的研究,深圳大學創業學院《區塊鏈概論》課程教師,中山大學區塊鏈與智能中心客座研究員,廣東省金融創新研究會常務理事?。個人擁有4項區塊鏈相關專利、3本出版著作。

Tags:ANCCAKEPANUNNFINANCEAI幣PancakePollPAN價格CRAZYBUNNY價格

中幣交易所
加密貨幣:富達的加密野心遠超預期

富達公司占領加密貨幣市場的計劃似乎比之前想象的更加雄心勃勃,因為該資產管理公司希望為數字資產提供更多機構途徑.

1900/1/1 0:00:00
區塊鏈:新思路科技2021年全球線上發布會:志“存”高遠

企業應用的移動化和智能化趨勢十分明顯,應用生成的數據類型正在發生變化,圖片、視頻、語音、文檔等非結構化數據占企業總數據量的比重已經成為絕對多數,傳統存儲在企業數字化轉型中已成為瓶頸.

1900/1/1 0:00:00
POL:敲響DeFi安全警鐘 為什么受傷的總是跨鏈橋?

原標題:《對話頭部安全公司,為什么受傷的總是跨鏈橋?》8月10日晚間,跨鏈互操作性項目PolyNetwork突遭黑客攻擊,損失金額高達6.1億美元.

1900/1/1 0:00:00
EPE:從安全研究視角看Poly Network事件

在過去的一周里,陸續發生了幾起安全事件,包括PolyNetwork和DaoMaker等造成大額資金損失的安全事件。雖然后續損失資金大部分或者全部被追回,但仍然給DeFi的安全敲響了警鐘.

1900/1/1 0:00:00
ETH:倫敦硬分叉后 必須看到的對ETH2.0的預測

?以太坊倫敦硬分叉已經過去一周多了,從那時起,以太坊變得越來越強大。今天將再次深入探討以太坊。本篇將解釋倫敦升級如何影響價格,以及這一切對ETH2.0意味著什么.

1900/1/1 0:00:00
UET:一文看懂:最受熱捧的合成資產平臺之間有哪些區別

合成資產只是DeFi的一部分,它模仿傳統金融,但移動了鏈上的一切。雖然交易的產品仍然是一樣的:股票、黃金和衍生品,但它們背后的邏輯是全新的.

1900/1/1 0:00:00
ads