2022年4月17日,成都链安链必应-区块链安全态势感知平台舆情监测显示,算法稳定币项目BeanstalkFarms遭黑客攻击,黑客获利近8000万美元,成都链安技术团队第一时间对事件进行了分析,结果如下。
1事件相关信息
攻击交易
0xcd314668aaa9bbfebaf1a0bd2b6553d01dd58899c508d4729fa7311dc5d33ad7
攻击者地址
0x1c5dcdd006ea78a7e4783f9e6021c32935a10fb4
攻击合约
0x79224bC0bf70EC34F0ef56ed8251619499a59dEf
被攻击合约
0xc1e088fc1323b20bcbee9bd1b9fc9546db5624c5
安全团队:SNK项目遭受攻击,黑客获利约19万美元:金色财经报道,据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示,SNK项目遭受攻击(0x7394f2520ff4e913321dd78f67dd84483e396eb7a25cbb02e06fe875fc47013a),黑客利用SNK的邀请奖励机制获利19万美元,目前资金仍在黑客地址中0x7738B2f18d994C7c8Fa10E1FE456069624740f3e,Beosin Trace将持续对资金流向进行监控。[2023/5/10 14:54:01]
2攻击流程
1.攻击者从攻击的前一天发起了提案交易,提案通过会提取Beanstalk:BeanstalkProtocol合约中的资金。
SushiSwap的BentoBoxv1合约遭受攻击,黑客获利约2.6万美元:金色财经报道,据区块链安全审计公司Beosin监测显示,SushiSwap的BentoBoxv1合约,据Beosin安全技术人员分析,该攻击是由于Kashi Medium Risk ChainLink价格更新晚于抵押/借贷后。在两笔攻击交易中,攻击者分别flashloan了574,275+785,560 个 xSUSHI, 在抵押和借贷之后,LINK Oracle中的kmxSUSHI/USDT 的价格从下降了16.9%。通过利用这一价格差距,攻击者可以调用 liquidate()函数清算从而获得15,429+11,333 个USDT,Beosin Trace追踪发现目前被盗资金还在攻击者的地址上:0xe7F7A0154Bf17B51C89d125F4BcA543E8821d92F。[2023/2/10 11:58:50]
2.黑客通过闪电贷换取了350,000,000个DAI,500,000,000个USDC,150,000,000个USDT,32,100,950个BEAN和11,643,065个LUSD作为资金储备。
安全团队:以太坊上PEAKDEFI遭攻击,黑客获利约6.6万美元:金色财经报道,根据区块链安全审计公司Beosin旗下Beosin?EagleEye 安全风险监控、预警与阻断平台监测显示,ETH链上的PEAKDEFI项目遭受攻击,攻击者利用合约中sellLeftoverToken()函数未进行权限校验。导致黑客合约中转走29832 BAT,5083 SUSHI,32508 matic,831 link,总价值66659美元。[2022/11/5 12:19:47]
3.黑客将2步骤的DAI,USDC,USDT资金在Curve.fiDAI/USDC/USDT交易池中添加为979,691,328个3Crv流动性代币,用15,000,000个3Crv换来15,251,318个LUSD。
Rari Capital在Fuse上的资金池遭到攻击,黑客获利近8000万美元:4月30日消息,Rari Capital在Fuse上的资金池遭到攻击,黑客获利近8000万美元。算法稳定币协议Fei Protocol表示如果黑客愿意归还被盗资金,愿意提供1000万美元赏金。[2022/4/30 2:42:33]
Visor Finance攻击事件报告:黑客获取了管理帐户访问权限:基于Uniswap V3的DeFi流动性协议Visor Finance就此前发生的攻击事件发布报告称,攻击者获得了一个管理帐户的访问权限,能够从尚未存入流动性提供者头寸的存款中提取资金。报告称,被盗金额约占其300万美元TVL的16.7%(约合50万美元),并证实该黑客并非团队成员,因此对其紧急提款保障措施缺乏充分了解,被盗资金仅限于未配置的资产。(BeInCrypto)[2021/6/21 23:53:12]
4.将964,691,328个3Crv代币兑换为795,425,740个BEAN3CRV-f用于投票,将32,100,950个BEAN和26,894,383LUSD添加流动性得到58,924,887个BEANLUSD-f流动性代币。
5.使用4步骤中的BEAN3CRV-f和BEANLUSD-f来对提案进行投票,导致提案通过。从而Beanstalk:BeanstalkProtocol合约向攻击合约转入了36,084,584个BEAN,0.54个UNI-V2,874,663,982个BEAN3CRV-f以及60,562,844个BEANLUSD-f。
6.最后攻击者将流动性移除并归还闪电贷,把多余的代币兑换为24830个ETH转入攻击者账户中。
3漏洞分析
本次攻击主要利用了投票合约中的票数是根据账户中的代币持有量得到的。
攻击者至少在一天前发起提取Beanstalk:BeanstalkProtocol资金的提案,然后调用emergencyCommit进行紧急提交来执行提案,这个就是攻击者1天之前发起攻击准备的原因所在。
4资金追踪
截止发文时,攻击者获利22029601个USDC,14742429个DAI,6,603,829个USDT与0.5407个UNI-V2,640224美元的BAEN代币资金近8000万,在攻击时将其中的25万USDC捐赠了乌克兰,之后攻击者将资金转换为ETH并将资金持续向Tornado.Cash转移。
针对本次事件,成都链安技术团队建议:
1.投票所用资金应在合约中锁定一定时间,避免使用账户的当前资金余额来统计投票数量,以避免可能出现的反复投票以及使用闪电贷进行投票;
2.项目方和社区应关注所有提案,如果提案是恶意提案,建议在提案投票期间应及时做出处理措施,将提案废弃,禁止其接受投票以及执行;
3.可考虑禁止合约地址参与投票;此外项目上线前最好进行全面的安全审计,规避安全风险。
Twitter的Crypto社区和NFT相关领域充满了局,只需几次互动,你就可以得到第一个“@Elonmusk_u开始跟踪您”的通知.
1900/1/1 0:00:00仅仅是「NFT+虚拟世界」并不能称得上是一个成功的开放式元宇宙。原文标题:Howtomakeanopenmetaverse撰文:WilliamM.Peaster,Bankless分析师编译:Sl.
1900/1/1 0:00:00前言:关于朋克与亚文化亚文化最早出现在16世纪的英国,“圈地运动”导致大批农民涌入城市,形成了与精英群体格格不入的“流浪者亚文化”.
1900/1/1 0:00:00今天,我们将深入探讨创业者如何利用Web3「生态Grant」,在与风险投资基金交谈之前打造出一个MVP.
1900/1/1 0:00:00人格权是人权在民事法律中的具体化,《中华人民共和国民法典》将人格权法律制度独立成编,彰显了“国家尊重和保障人权”的宪法基本原则.
1900/1/1 0:00:00不要错过区块链,不要旁观元宇宙 肖风|万向区块链董事长从最基础的网络技术发展趋势的角度来看,互联网确实是不断向着去中心化去演变的.
1900/1/1 0:00:00