北京时间2022年4月24日下午4时33分,CertiK审计团队监测到WienerDOGE项目被恶意利用,造成了3万美元的损失。攻击者利用WDODGE的收费机制和交换池之间的不一致,发起了攻击。
事件发生的根本原因是:通过紧缩的代币合约造成发送方的LP对没有被排除在转账费用之外。因此,攻击者能够将LP对中的通货紧缩代币耗尽,进而导致货币对价格失衡。
而随后于同一天内接连发生了另外三起恶意利用:
数据:2022年黑客攻击事件已达275起,损失资金超35亿美元:11月1日消息,慢雾SlowMist在社交媒体上发文表示,2022年加密领域因黑客攻击事件导致的资金损失已超35亿美元。据其数据显示,今年全年已发生共计275起黑客攻击事件。[2022/11/1 12:06:17]
下午6时20分,LastKilometer项目被闪电贷攻击利用,造成了26495美元的损失;
晚上9时45分,Medamon项目被闪存贷攻击利用,造成3159美元的损失;
紧接着,PI-DAO项目被闪存贷攻击利用,造成了6445美元的损失。
派盾:Meter.io跨链桥遭遇黑客攻击,损失约430万美元:2 月 6 日消息,安全机构PeckShield派盾发推文称,Meter.io 跨链桥遭遇黑客攻击,损失约 430 万美元(包括 1391.24945169 ETH 和 2.74068396 BTC)。黑客对原始(未受影响)跨链桥的扩展引入了虚假存款。
Meter.io 官方表示,Meter Passport 具有自动打包和解包 Gas Token(如 ETH 和 BNB)的功能,以方便用户使用。然而,合约并没有阻止封装的 ERC20 Token 与原生 Gas Token 的直接交互,也没有正确转移和验证从调用者地址转移的 WETH 的正确数量。[2022/2/6 9:33:47]
这一系列攻击的攻击者与攻击方法,与同一天早些时候发生的WienerDOGE相同。
研发人员披露2018年Bitcoin Core软件漏洞 可导致黑客窃取资金:日前研发人员披露了一个比特币软件Bitcoin Core的一个漏洞,该漏洞在2018年被发现并被修复。该漏洞被定义为高度危险,会导致黑客从开放闪电网络的节点窃取资金、延迟结算以及区块链分叉。(Coindesk)[2020/9/9]
攻击步骤
①攻击者通过闪电贷获得了2900枚BNB。
②攻击者将2900枚BNB换成了6,638,066,501,83枚WDOGE。
●LP的状态:
动态 | Bitcoin Association举办首届BSV开发者黑客马拉松:据美通社消息,在上周于多伦多举行的CoinGeek大会上,评委们就Bitcoin Association(实际由澳本聪阵营的“bComm协会”更名而来)的首届BSV黑客马拉松的获奖情况进行了投票,获奖名单分别为UptimeSV、TonicPow、PolyGlot。[2019/6/10]
○WdogE:199,177,850,468
○WBNB:2978
③将5,974,259,851,654枚WDOGE发送到LP,由于WDOGE比BNB多,所以LP现在处于不平衡状态。
●LP的状态:
○WDOGE:5,178,624,112,169
○WBNB:2978
④调用skim()函数,从LP中取回4,979,446,261,701枚WDOGE。由于攻击者在调用skim()之前发送了大量的WDOGE,所以LP将支付大量的费用。这一操作清空了LP内的WDOGE的数量。
攻击者还调用可sync()函数来更新LP内的储备值。若干枚WDOGE和2978枚BNB的存在,造成了WDOGE的价格与WBNB相比异常昂贵。
⑤最后,攻击者用剩下的WDOGE换回了2978枚BNB,偿还了闪电贷,赚取了78枚BNB。
而其他几个项目被攻击的流程步骤也相似:
闪电贷取得WBNB,并用WBNB换取LP中的通缩代币;
直接将通缩的代币转移到LP对上;
调用skim()函数,迫使LP对输回通缩代币;
由于转让费的存在,攻击者会重复步骤2~3,将LP对中的通缩代币耗尽;
通过LP对中的价格不平衡来获取利润。
漏洞分析
当用户转移一定数量的WDOGE时,除了费用,还有4%的代币将被销毁。
因此,如果LP发送100枚WDOGE,其余额将减少104枚WDOGE。
所以,LP应该被排除在费用和代币销毁之外。
资产去向
写在最后
如果同时对代币和LP合约进行审计,这一风险因素就可以被发现。
然而,如果只有代币合约被审计,那么交换机制将被视为一个外部依赖。
而这种情况在审计过程中将会指出第三方依赖风险。具体为:如果是代币合约,CertiK审计专家将会与项目方讨论,确认是否需要除去LP对的手续费;如果是LP对方的合约,CertiK审计专家会提出通缩币的讨论,并且提醒项目方可能存在的风险。
背景2021年回顾MolochDAO网络/生态系统概述赠款策略MolochDAO—未来展望MolochDAO关于ETH生态系统发展的计划Moloch崛起!背景-Moloch的故事2019年的情人.
1900/1/1 0:00:00在刚过去的一周中,Bitfinex都有哪些功能更新和值得关注的事件呢?一起来看看吧!美国国会可能会在3月底前出台稳定币法案美国境内稳定币监管相关的法案可能将在本月底前提出.
1900/1/1 0:00:00“以太坊作为第一个拥有智能合约的区块链,凭借先发优势已经建立了相对完整的生态并沉淀了足够多的用户,但在Gas费、处理速度和可扩展性方面饱受诟病.
1900/1/1 0:00:00TRONSCAN最新数据显示,过去二十七周,TRX持续处于通缩状态,通缩量达3.82亿枚TRX.
1900/1/1 0:00:00本文来自PythNetwork,由Odaily星球日报译者Katie辜编译。 目前,已有八家区块链基础设施公司增加了对PythNetwork的支持,其中包括新加入的Syndica,还有Evers.
1900/1/1 0:00:002022年4月7日,由区块链内容孵化平台和创客社区MixMarvel孵化的MixMarvelDAOVenture正式启动.
1900/1/1 0:00:00