WBNB:首发 | 数次闪电贷无成本套利125万美元 New Free DAO攻击事件分析

2022年9月8日，CertiKSkynet天网监测到NewFreeDAO(NFD)项目遭遇了闪电贷攻击。

漏洞在NFD项目部署的一个未经验证的奖励合约中，攻击者利用闪电贷借入NFD代币，并将其发送到攻击合约。随后攻击合约则调用未经验证的奖励合约，向攻击者发送更多的NFD代币。

攻击者在3次攻击中重复这个过程，获取了4481个WBNB，价值约125万美元。

由于攻击者大量抛售NFD代币，该代币的价格已经暴跌超过99%。

攻击步骤

①攻击者部署了一个恶意合约。在同一笔交易中，它调用了以下函数，将自己添加为合约成员。

SEC在Coinbase案中将SOL、FIL等代币定义为证券:6月6日消息，SEC在Coinbase案中将SOL、ADA、MATIC、FIL、SAND、AXS、CHZ、FLOW、ICP、NEAR、VGX、DASH和NEXO定义为证券。[2023/6/6 21:19:19]

②攻击者执行了三次闪电贷攻击，借助第一笔闪电贷款，借入250个WBNB，并将其交易为6,313,508个NFD代币。

③这些代币被发送到一些未经验证的合约中。

④这调用了0xe2f9d09c，输入NFD代币地址0x0000000000000000000038c63a5d3f206314107a7a9fe8cbba29d629d4f9。

Lookonchain：某BLUR巨鲸地址正亏本减持BLUR并购入GMX:3月6日消息，据 Lookonchain 监测数据显示，一巨鲸地址于今日亏本出售 110 万枚 BLUR，获得 450 枚 ETH，抛售均价约为 0.68 美元（平均购买成本约为 1.21 美元），此后将 450 ETH 兑换为 10,855 枚 GMX。

据悉，该巨鲸地址于 2 月 20 日首次斥资 2,000 枚 ETH（约合 341 万美元）购买 252 万枚 BLUR，平均购买价格为 1.35 美元。此后于 2 月 22 日再次斥资 1000 枚 ETH 加仓 167 万枚 BLUR，平均购买价格为 0.99 美元，当时共计持仓 4,187,211 枚 BLUR(约合 410 万美元)。[2023/3/6 12:45:20]

⑤这触发了NFD项目部署的另一个未经验证的奖励合约0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e.0x6811e3b9()。

RACA将推出BNB Chain游戏侧链JAZ Network:1月18日消息，RACA将于2023年2月推出名为JAZ Network的BNB Chain游戏侧链，未来RACA将在该侧链之上启动多款Web3游戏，基于BNB Chain之上打造一个全新的游戏应用生态。

据悉，BNB将是JAZ Network的原生代币，用于结算网络之上的gas费用；而RACA代币则将作为JAZ Network链上所有游戏的治理代币，用于支付、奖励、投票等等。

此前，日本Virtual Youtuber运营服务商和XR线下实体虚拟偶像演唱会平台Vpollo Group已宣布成立Web3游戏工作室，在RACA3和USM.world上线在线社交游戏“Among us”的Web3版本。[2023/1/18 11:18:50]

之后，未验证的合约实际上从奖励合约中收到了额外的525,283个NFD代币——总计6,838,792个NFD代币，这些代币被发回给了攻击合约。

泰国证券交易委员会秘书长：将修订数字资产监管法规，加强对加密资产平台的监管:7月22日消息，泰国证券交易委员会秘书长Ruenvadee Suwanmongkol表示，该委员会正寻求修订现有的数字资产监管法规，其中大部分已于2018年获得批准。Suwanmongkol称提案包括更严格的加密货币托管人管理和许可资格，但她没有提供具体细节。Ruenvadee表示：“数字资产价格的极端波动刺激了加强监管的迫切需要，我们的主要重点是为小投资者提供更多保护，其中一些人将大部分积蓄投入到这些资产中。”

根据泰国证券交易委员会的数据，6月份泰国持牌交易所的加密货币交易额暴跌至580亿泰铢（16亿美元），为2021年1月以来的最低水平。数据显示，6月份活跃交易账户总数从5月份的55.6万个降至30.5万个。Ruenvadee称 ，很大一部分数字资产交易者是“年轻投资者” 。（彭博社）[2022/7/22 2:30:16]

⑥在上述交易中，NFD合约错误地释放了额外的525,283NFD。因此当攻击者完成攻击时，获取了总计343,323,371个NFD代币，在偿还了最初的250WBNB贷款后，获利4481WBNB，总价值约125万美元。

⑦最后攻击者通过两笔交易，将2,000WBNB换为556,556.72USDT。目前攻击者钱包仍持有2,481WBNB。

漏洞分析

本次攻击事件的漏洞位于NFD项目部署的一个未经验证的奖励合约。由于NFD合约的源代码在BSCScan上未被验证，因此还无法确定攻击者用来利用合约的确切机制。

资金去向

攻击者总共获得了4481个WBNB，并将其中的2000个换成了55.7万枚USDT，剩下的WBNB仍然在攻击者的账户中。

将2000WBNB交易为USDT的两笔交易：

https://bscscan.com/tx/0x8c035fc9c3d944b3dd4a0ea721c119240cb624e79b7625a16173ad6682410599?

https://bscscan.com/tx/0xda4b4de6ecacfe9b8b60167a2010630aeec103ab51920eb2e1b94ba1fef6c95b?

相关地址

攻击者账户：

https://bscscan.com/address/0x22c9736d4fc73a8fa0eb436d2ce919f5849d6fd2?

攻击合约：

https://bscscan.com/address/0xa35ef9fa2f5e0527cb9fbb6f9d3a24cfed948863?

未经验证的奖励合约：

https://bscscan.com/address/0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e?

WBNB-USDT对：

https://bscscan.com/address/0x16b9a82891338f9ba80e2d6970fdda79d1eb0dae?

USDT-NFD对：

https://bscscan.com/address/0x26c0623847637095655b2868c3182b2285bdaeaf?

写在最后

攻击发生后，CertiK的推特预警账号以及官方预警系统已于第一时间发布了消息。同时，CertiK也会持续于官方公众号发布与项目预警相关的信息。

CertiK的端到端安全解决方案，从智能合约审计和KYC项目背景调查服务，到Skynet天网动态扫描系统和SkyTrace等区块链分析工具，以及漏洞赏金计划，助力每一个项目充分发挥潜力的同时为Web3.0打造用户和投资者高参与的生态系统。

来源：金色财经

标签：NFDBNBWBNBBSCSNFD币togetherbnb换装都有什么衣服wbnb和bnb区别和联系BSCS币

瑞波币热门资讯