2020年11月30日，据慢雾区情报，以太坊AMM代币兑换协议SushiSwap遭遇攻击，损失约1.5万美元。慢雾安全团队第一时间介入分析，并以简讯的形式分享，供大家参考。
背景提要
SushiSwap项目中SushiMaker合约的作用是用于存放SushiSwap中每个交易对产生的手续费。其中手续费会以SLP(流动性证明)的形式存放在合约中。SushiMaker合约中有一个convert函数，用于将从每一个交易对中收集的手续费通过调用各自交易对的burn函数获得对应的代币，然后将这些代币转换成sushi代币，添加到SushiBar合约中，为SushiBar中抵押sushi代币的用户增加收益，而此次的问题就出在SushiMaker合约。
Visa测试支持信用卡或借记卡以法币支付链上Gas费的方法:8月11日消息，支付巨头Visa周四表示，已完成用户使用信用卡或借记卡直接以法定货币方式支付链上Gas费用的测试。该实验在以太坊Goerli测试网上进行，使用付款主合约代表用户支付Gas费用。这意味着用户可以发送区块链交易，而不必担心维持以太坊的余额。Visa相信该合约可以使更广泛的用户更容易进行交易。[2023/8/11 16:20:25]
攻击流程
1、攻击者选中SushiSwap中的一个交易对，如USDT/WETH，然后添加流动性获得对应的SLP(USDT/WETH流动性证明，以下简称SLP)，使用获得的SLP和另外的少量WETH创建一个新的SushiSwap交易对，然后得到新代币池的SLP1(WETH/SLP(USDT/WETH)流动性证明，以下简称SLP1)转入?SushiMaker合约中。
Web3元宇宙游戏My NFT Wars完成200万美元融资:2月4日消息，Web3元宇宙游戏My NFT Wars宣布完成200万美元私募轮融资，Social Discovery Group领投，Nika Tech Family、Blackshield Capital 和 Wannabiz、以及歌星Potap、Megogo.net联创Fedor Drozdovski等天使投资人参投。
My NFT Wars是一款 Web3 大型多人在线角色扮演游戏 (MMORPG)，采用基于 Token 的 Play-Create-Own 模式并利用 NFT 和游戏原生 Token 来激励玩家。[2023/2/4 11:47:17]
2、调用SushiSwap的convert函数，传入的token0为第一步获得的SLP，token1为WETH。调用convert函数后，SushiMaker合约会调用token0和token1构成的代币池的burn函数燃烧SLP1，燃烧掉攻击者在第一步中打入SushiMaker合约中的SLP1，得到WETH和SLP。
OpenSea宣布将支持Arbitrum:金色财经报道，OpenSea宣布将开始支持Layer 2网络Arbitrum，OpenSea表示，“这是我们建立web3未来目标的第一步，人们可以在他们喜欢的链上获得他们想要的NFT。”
此前消息，Arbitrum开发团队宣布，已发布Nitro节点版本v2.0.5。该版本对排序者和验证者系统进行大量改进，并支持Consensusv7。[2022/9/21 7:10:01]
3、SushiMaker合约的convert函数紧接着会调用内部的_toWETH函数将burn获得的代币转换成WETH，由于在第二步SushiMaker合约通过burn获得了SLP和WETH。其中WETH无需转换，只需转换SLP。此时，转换将会通过调用SLP/WETH交易对进行转换，也就是攻击者在第一步创建的交易对。由于SushiMaker合约在转换时会将所有的balanceOf(token0)转换成WETH，这里传入的token0为SLP，于是合约将合约中所有的SLP通过SLP/WETH交易对进行兑换(兑换的SLP包含USDT/WETH交易对每次swap产生的收益和在第二步合约通过burn函数获得的SLP)。而SLP/WETH代币池是攻击者创建的，攻击者只需在初始化的时候添加少量的WETH，就可以在SushiMaker交易对进行兑换的过程中，用少量的WETH换取SushiMaker合约中对应交易对的所有的SLP。
4、攻击者使用burn函数在SLP/WETH交易对中燃烧掉自己的SLP1,拿到大量的SLP和小量的WETH，并继续对其他流动性池重复该过程，持续获利。
总结
攻击者使用SLP和WETH创建一个新的代币池，使用新代币池的SLP1在SushiMaker中进行convert，使用少量的SLP将SushiMaker合约中的所有SLP转到自己创建的代币池中，即将对应交易对一段时间内的所有手续费收入囊中。并对其他交易对重复这个过程，持续获利。
By:??慢雾安全团队
各位朋友大家下午好,下面老李给大家分享下11.30日全网公开单、实仓客户给出的策略操作情况：11.30日上午全网给出BTC18400-18450点位多单.
1900/1/1 0:00:00市值排名前三的加密软件已经有了应用案例,使它们不再属于投机性资产的范畴。过去的几周中加密货币的市值不断上涨,尤其是比特币在引领着这波涨势.
1900/1/1 0:00:00亲爱的BKEXer:????BKEXGlobal现已完成FILPool矿池FIL6第一期交割兑换.
1900/1/1 0:00:00比特币在站上18000美金之后距离历史最高也只差2000美元,“怎样获得比特币？”的话题似乎又再次火热了起来,而获得的方式无非就是直接二级市场购买,或者参与一级市场的挖矿了.
1900/1/1 0:00:00亲爱的用户：为支持LYN生态发展,BigONE特开展“LYN净买入竞赛活动”,总奖金高达2,500USDT,福利多多,欢迎广大用户踊跃参与.
1900/1/1 0:00:009月底以来,在不到两个月的时间里,比特币涨幅超过90%,并于11月25日创出19482的年内新高,据历史新高仅一步之遥.
1900/1/1 0:00:00
木星链