8455新澳门路线网址-澳门新葡萄京开户注册

鸵鸟区块链

SharkTeam独家分析丨闪电攻击-Bogged Finance被黑事件分析

SharkTeam 2021-05-23 17:00
摘要:

SharkTeam独家分析丨闪电攻击-Bogged Finance被黑事件分析

北京时间5月22日,BSC 链上的 DeFi 和预言机项目Bogged Finance 遭到闪电兑攻击。受攻击事件的影响,BOG的价格闪崩,险些归零,从8.5 美金跌至0.15美金,跌幅达到 98%。

图片1.png

SharkTeam第一时间对此事件进行了攻击分析和技术分析,并总结了安全防范手段,希翼后续的区块链项目可以引以为戒,共筑区块链行业的安全防线。

一、事件分析

(1) 攻击者在 PancakeSwap 中分 11 笔,总计Swap出47770个BOG;

图片2.png

(2) 分 9 笔将共计 88,159.43 WBNB 和 421,761.33 BOG 在 PancakeSwap 中为WBNB/BOG 交易对添加流动性并获得对应的 83,440.57 LP Token;

图片3.png

(3)之后攻击者操作了 400多笔自我转账,共计转账 180多万 BOG,并获的 15.1 万 BOG的流动性奖励;

图片4.png

(4)攻击者将赃款兑换为 WBNB,并通过 Nerve分批次转换为以太坊上的 ETH,完成资产转移。

图片5.png

(5)如上攻击流程分析,攻击者发动数量众多的自我转账,是一种目的明显的骗取交易费的攻击行为;进一步考虑,可能是攻击者发现 BOG的流动性资产分配的计算逻辑的问题并进行攻击套利。如此,大家分析了BOG代币的合约。合约中写的很明确:对所有交易收取 5% 的交易额作为交易费用,其中 4% 按比例分配给流动性提供者,1% 被烧毁。

然而在本次攻击交易中,Bogged Finance没有校验转账发起方和接收方的地址,导致攻击者可以不断的向自己发起转账,在账面余额无变化的情况下却仍然能做为流动性提供者得到额外的 4% 作为奖励,造成通胀,攻击者利用此漏洞多次重复地自我转账,获得了流动性池中本不属于他的资产。

图片8.png

二、SharkTeam区块链安全常识课堂

此次事件是一次“闪电兑”攻击事件,大家可能对“闪电贷”比较熟悉,对“闪电兑”比较陌生。其实“闪电贷”和“闪电兑”都是“闪电家族”的一员,除“闪电贷”和“闪电兑”外,还有“闪电铸”。

(1) 闪电贷(Flash Loan)

众所周知,简单来说闪电贷就是从借贷协议中借到足量的资金,并在一个区块内将资金如数奉还,盈利归借贷者所有。近年来,黑客使用闪电贷对诸多 DeFi 协议进行了攻击,造成了大量的资金损失,可以说是谈闪电贷色变。

图片9.png

在具体使用层面,闪电贷的借贷方,例如去中心化借贷平台 Aave 对闪电贷会收取 0.09% 的费用。常规的闪电贷套利,至少需要三步操作:

1) 在 Aave 等支撑闪电贷的借贷协议上借款;

2) 在去中心化的交易平台进行交易;

3) 在另一个去中心化的交易所进行套利以实现利润。同时闪电贷必须用借出的资产偿还。如果借 Dai,需要用 Dai 偿还贷款。

(2)闪电兑(Flash Swap)

由 Uniswap 提出的闪电兑与闪电贷的差异较小。就像在 Uniswap 文档中所说的那样,闪电兑没有固定费用,而是收取交换费用。与闪电贷相比,这可以看作是一笔「免费」贷款,因为交易费已经从交易中扣除,不需要再单独支付借贷利息。

最后一点不同之处在于,闪电兑可以用交换过程中的任何一种代币来偿还。如果在闪电兑中用 ETH 购买 Dai,那么最后可以用 Dai 或者 ETH 偿还贷款。这让用户可以更容易的做复杂的操作。

(3)闪电铸(Flash Mint)

由Austin Williams提出,据先容与举例说明,与上述两者不同,闪电铸首先需要引入新代币 fWETH,Flash-mintable token(FMTs) 是允许闪电铸的 ERC20 代币,任何人都可以在其账户中铸造任意数量的新代币,只要他们在一笔交易结束前,从其账户中销毁相同数量的代币即可。相较于闪电贷,闪电铸的特点有:不需要流动性池背书;最多可以铸出 2 的 256 次方-1 枚代币;只能与继承了 fWETH 的合约交互使用(未大规模应用的原因);不同于闪电贷将技术风险置于借贷平台,闪电铸的技术风险在 fWETH 的持有者手中。

三、安全建议

智能合约安全关系用户的财产安全,至关重要!区块链项目开发者应与专业的安全审计企业合作,为用户的数字资产安全和项目本身安全提供保障。

SharkTeam作为领先的区块链安全服务团队,为开发者提供智能合约审计服务。智能合约审计服务由人工审计和自动化审计构成,满足不同客户需求,独家实现覆盖高级语言层、虚拟机层、区块链层、业务逻辑层四个方面111项审计内容,全面保障智能合约安全。

SharkTeam为客户提供高级别的区块链安全服务,区块链安全专家团队7*24小时为智能合约提供全生命周期的安全保障,服务包括:VIP安全审计服务、VIP合规审计服务、安全事故应急响应等。

SharkTeam也提供自动化审计工具,自动化审计以云服务的方式为用户提供服务。运用符号实行、形式化验证等智能合约分析技术,满足开发者智能合约日常审计需求。

图片10.png

==

和11万人同时接收最新行情资讯

搜“鸵鸟区块链”下载

和2万人一起加入鸵鸟社群

添加QQ群:645991580

添加TG群:鸵鸟中文社区https://t.me/tuoniaox

声明: 鸵鸟区块链所有发布内容均为原创或授权发布,如需转载,请务必注明文章编辑以及来源:鸵鸟区块链(微信公众号:MyTuoniao),任何不敬重原创的行为鸵鸟区块链都将进行责任追究!鸵鸟区块链报道和发布内容,不构成任何投资建议。

SharkTeam

——

27 篇 作品

8455新澳门路线网址|澳门新葡萄京开户注册

XML 地图 | Sitemap 地图