HST:损失200万美元 DeFi 协议0vix Protocol遭受闪电贷攻击是怎么回事

2023年4月28日，据Beosin-Eagle Eye态势感知平台消息，0vix Protocol项目遭受闪电贷攻击，损失约为200万美元。0VIX 在 Twitter 上证实了此次攻击，并表示“正在调查当前情况”。

Beosin安全团队第一时间对事件进行了分析，结果如下。

慢雾：NimbusPlatform遭遇闪电贷攻击，损失278枚BNB:据慢雾安全团队情报，2022 年 12 月 14 日， BSC 链上的NimbusPlatform项目遭到攻击，攻击者获利约278枚BNB。慢雾安全团队以简讯的形式分享如下：

1. 攻击者首先在 8 天前执行了一笔交易（0x7d2d8d），把 20 枚 BNB 换成 NBU_WBNB 再换成 GNIMB 代币，然后把 GNIMB 代币转入 Staking 合约作质押，为攻击作准备；

2. 在 8 天后正式发起攻击交易（0x42f56d3），首先通过闪电贷借出 75477 枚 BNB 并换成 NBU_WBNB，然后再用这些 NBU_WBNB 代币将池子里的绝大部分 NIMB 代币兑换出；

3. 接着调用 Staking 合约的 getReward 函数进行奖励的提取，奖励的计算是和 rate 的值正相关的，而 rate 的值则取决于池子中 NIMB 代币和 GNIMB 代币的价格，由于 NIMB 代币的价格是根据上一步闪电贷中被操控的池子中的代币数量来计算的，导致其由于闪电贷兑换出大量的代币而变高，最后计算的奖励也会更多；

4. 攻击者最后将最后获得的 GNIMB 代币和拥有的 NIMB 代币换成 NBU_WBNB 代币后再换成 BNB，归还闪电贷获利；

此次攻击的主要原因在于计算奖励的时候仅取决于池子中的代币数量导致被闪电贷操控，从而获取比预期更多的奖励。慢雾安全团队建议在进行代币奖计算时应确保价格来源的安全性。[2022/12/14 21:44:29]

攻击交易

CoinShares因UST崩盘损失2140万美元:金色财经报道，加密资产管理公司CoinShares周一发布2021年年度报告。报告中显示，其针对UST的投资敞口出现了1700万英镑（2140万美元）的“异常”亏损。

该公司首席执行官Jean-Marie Mognetti在报告中表示：“我们在清算UST头寸的DeFi活动中计入了1700万英镑的异常亏损。”他补充说，这是一次“令人羞愧的教训”。

根据IFRS编制的数据显示，CoinShares在2021年全年的净亏损从14亿英镑扩大到24亿英镑，尽管营收增长了四倍多。

净亏损主要是由于金融工具的损失。该公司指出，根据IFRS准则，数字资产的收益没有显示在损益表上。

此前消息，加CoinShares发布2021年年度报告。截至2021年年底，该公司净资产超过2亿英镑，较2020年年底（5650万英镑）增加2.5倍。2021年收入达8075万英镑，较2020年（1838万英镑）增加近3.4倍。替代综合收益表显示，2021年营业利润达1.0141亿英镑，较2020年（1711万英镑）增加近5倍。（CoinDesk）[2022/6/1 3:53:52]

0x10f2c28f5d6cd8d7b56210b4d5e0cece27e45a30808cd3d3443c05d4275bb008

声音 | Ethhub创始人：bZx疑似再次发生攻击 或损失2388个 ETH:以太坊爱好者、Ethhub 创始人 Eric Conner 在推特上表示，bZx 攻击疑似再次出现，如果确认的话，这一次攻击者获利 2,388 个 ETH（约 64.4 万美元）。Eric 表示，攻击者疑似借了 7500 个 ETH，换成 WETH 后，抛售换成 Synthetix 合成的 sUSD。[2020/2/18]

攻击者地址

0x702ef63881b5241ffb412199547bcd0c6910a970

攻击合约

0x407feaec31c16b19f24a8a8846ab4939ed7d7d57

被攻击合约

动态 | ToBet今日凌晨遭遇回滚攻击 损失22000个EOS:据 IMEOS 报道，ToBet 今日凌晨 2 点 42 分遭到黑客恶意攻击，损失 22000 个 EOS，攻击账号为 kfexzmckuhat 。

ToBet团队发公告表示本次黑客攻击造成的损失全部由团队承担，不会影响玩家的分红和奖励。[2018/12/19]

0x738fe8a918d5e43b705fc5127450e2300f7b08ab

1.第一步，攻击者通过闪电贷借出大量的资金，为后面的攻击做准备。

2.第二步，攻击者铸造凭证币，已允许借出其他资产。

3.第三步，攻击者向vGHST地址转入1656000 枚GHST Token。

4.后续清算黑客的借贷头寸，清算借入的头寸用于取回原始抵押品。

5.最后攻击者偿还闪电贷。

本次攻击黑客利用了VGHSTOracle预言机漏洞，因为VGHSTOracle预言机获取的价格是通过vGHST合约的convertVGHST函数去获取的，而convertVGHST函数中的计算依靠于合约中的GHST Token数量。

在操控价格前ghst为1038332409246369136，如下图：

攻击者向vGHST地址转入1656000 枚GHST Token后，ghst为1785061331510841538，如下图：

由于抬高了价格，已至于黑客可以清算借入的头寸用于取回原始抵押品。

截止发文时，攻击者通过跨链协议从matic转移到以太坊上，目前被盗资金存放在：

https://etherscan.io/address/0x702Ef63881B5241ffB412199547bcd0c6910A970。Beosin KYT反分析平台正在对被盗资金进行监控。

针对本次事件，Beosin安全团队建议：合约开发时，因避免预言机被操控，建议使用更加安全的预言机来预言价格。项目上线前，建议选择专业的安全审计公司进行全面的安全审计，规避安全风险。

来源：Beosin

Beosin

企业专栏

阅读更多

金色荐读

金色财经 善欧巴

Chainlink预言机

区块律动BlockBeats

白话区块链

金色早8点

Odaily星球日报

欧科云链

深潮TechFlow

MarsBit

标签：HSTGHSTNIMNIMBHST价格highstreet币最新进展Animal Friends UnitedNIMBUS

NEAR热门资讯