一．事件背景
8月17日，有消息爆出BSC上DeFi协议XSURGE遭到闪电贷攻击，被盗金额价值500万美金。知道创宇区块链安全实验室迅速展开分析。
二．攻击合约及交易
攻击合约地址：
0x1514AAA4dCF56c4Aa90da6a4ed19118E6800dc46
数据：近日有143万枚FXS已解锁，约合1170万美元:金色财经报道，Lookonchain数据监测显示，最近有约143万枚FXS（约合1170万美元）已解锁。[2023/4/23 14:21:59]
攻击交易链接：
https://bscscan.com/tx/0x7e2a6ec08464e8e0118368cb933dc64ed9ce36445ecf9c49cacb970ea78531d2
GIBXSWAP将于9月14日正式上线:据官方消息，GIBXSwap将于9月14日正式上线。GIBXSWAP是基于自动化做市机制的去中心化交易协议，旨在融合多种基础公链的差异化优势。打造复合型DEX生态，并通过手续费回购销毁机制实现了自驱式价值捕获生态闭环。致力打造集DEX、IMO、DAO为一体的DeFi平台。[2021/9/6 23:03:40]
三．事件复盘
分析攻击交易，攻击者通过闪电贷借入BNB后购买surge代币，然后不断卖出再买入，最后套利离场，分析代币源代码可以发现，这次漏洞的原因是因为合约内的sell函数导致的重入漏洞。
Kcash与GXS形成战略合作伙伴关系:Kcash宣布已与GXS形成战略合作伙伴关系，已经正式进入Block City，现在Kcash钱包已支持GXS令牌。GXS全球均价3.84美元，涨幅0.67%。[2018/4/29]
sell函数计算完卖出代币所值BNB数量后，合约会把BNB发送给攻击合约，但是如果攻击合约此时在回退函数中又执行了purchase函数，就会导致重入的发生。
观察此次函数调用产生的影响，由于这是在sell函数中调用的purchase，所以totaslSupply还没有销毁掉sell的SurgeToken，导致totalSupply高于正常值，bnbAmount和prevBNBAmount的值会因为94%的手续费问题而有所变化，但也影响不大。
也就是说攻击者通过买入-卖出-买入的操作，以更低的代币价格获取到了更多的surge代币，值得一提的是因为sell函数中nonReentrant修饰函数的影响，攻击合约只能重复之前的操作，也说明了防重入修饰函数不能完全解决这种伪重入问题，最好的方法还是限制call函数转账调用，用更安全的transfer函数限制转账gas消耗。
四．事件总结
最近链上安全事件频繁发生，这次重入漏洞又造成了重大的经济损失，我们建议各大项目方认真审视自身代码，做好安全保障。同时官方发文称将会尽量弥补受害者被盗资金，如有最新进展，我们将会及时跟进。
今天收录于话题#每日期权播报 播报数据由Greeks.live格致数据实验室和Deribit官网提供.
1900/1/1 0:00:00自从区块链技术上升至国家战略和作为新基建的重要内容以来,加上今年“十四五”的重点布局,我国助推区块链快速发展的政策已经遍地开花,未来产业区块链必将迎来飞速发展的新纪元.
1900/1/1 0:00:00大概一个月前,波卡测试网Kusama完成了第一次插槽拍卖,此次拍卖被外界视为是波卡主网插槽拍卖的一次预演和测试,因此吸引到了许多波卡以及跨链技术关注者的目光.
1900/1/1 0:00:00——前言——我们已经了解到分布式系统一般通过状态复制机原理来实现一致性。其核心思想是系统中所有副本运行着相同的状态机,只要所有副本都以相同的初识状态开始,并基于相同的初识状态执行一组相同顺序的操.
1900/1/1 0:00:00本周BTC出现了强劲的反弹,从30000美元附近最高反弹到40000美元上方。本文将回顾衍生品和链上数据,以评估此次拉升能否为市场的后续盈利能力奠定基础.
1900/1/1 0:00:00|利好兑现后价格仍然强势 (图)若站上2900美元箱体上轨,ETH将加速上涨在伦敦升级之前,几大交易平台考虑到可能会有矿工会分叉产生糖果,纷纷发布空投预案公告.
1900/1/1 0:00:00
木星链