闪电贷攻击继续 Dot Finance攻击事件分析

灵踪安全:闪电贷攻击继续 Dot Finance攻击事件分析

8月25日,BSC链上的收益聚合应用Dot.Finance受到闪电贷攻击。受本次攻击事件的影响,项目代币PINK在短时内发生暴跌,从0.77美元跌至0.5美元。

这次攻击事件中有两点值得我们注意:

一是闪电贷再次成为黑客的工具,将攻击的后果放大。

二是本次攻击与前阵子PancakeBunny受到的攻击同源。

关于“闪电贷”,我们已经在往期的文章中多次介绍:它不是攻击的元凶而只是攻击利用的手段。本文特别想强调的是第二点,也就是本次攻击与PancakeBunny的同源性。

我们在本文所说的“同源”通俗的理解就是本项目出现的漏洞与PancakeBunny一样。为什么会这样呢?原因就在于Dot Fiance是分叉自PanacakeBunny的代码,而在分叉复制的过程中,项目方或许是因为疏忽,或许是因为其它原因,并没有对代码进行详细审计,以致PancakeBunny代码中的漏洞也一并复制过来了,而没有得到修正。

由于本次攻击与PancakeBunny具有同源性,因此我们有必要首先回顾一下PancakeBunny此前受到的攻击情况,这些攻击事件具体如下:

2021年5月20日,PancakeBunny第一次遭遇攻击

2021年5月26日,PancakeBunny第二次遭遇攻击

2021年7月17日,PancakeBunny在Polygon上的版本遭外部攻击

本次Dot Finance受到的攻击则与 PancakeBunny第二次遭受的攻击是相同的漏洞。具体地说,Dot Finance分叉复制了PancakeBunny的收益聚合部分,但没有修正其隐藏的漏洞。

灵踪安全对本次事件的详细分析如下:

在本次攻击中,

攻击者的地址为:0xDFD78a977c08221822F6699AD933869Da6d9720C

攻击合约的地址为:0x33f9bB37d60Fa6424230e6Cf11b2d47Db424C879

被攻击的合约为“VaultPinkBNB”,其地址为:0xbfca3b1df0ae863e966b9e35b9a3a3fee2ad8b07

具体在合约“VaultPinkBNB”中,出现漏洞的代码为“getReward()”函数,函数完整代码如下:

函数中具体出现漏洞的代码片段为:

上述代码片段在计算奖励时,_minter.performanceFee(cakeBalance)传入的参数cakeBalance 是CAKE代币的余额。攻击者可以在调用getReward前将闪电贷借入的CAKE转入 VaultPinkBNB合约,导致产生非预期的performanceFee值,而_minter.mintFor()则根据这个非预期的performanceFee值增发超额的PINK奖励代币。然后攻击者将PINK在Pancake上卖出换为BNB和CAKE,一部分偿还闪电贷,剩余部分则为本次攻击的获利。

这类由项目之间的相互分叉而导致漏洞传导的事件已经不是第一次发生,我们相信未来这类漏洞还会发生。

单就本次攻击及漏洞的来源来看,灵踪安全强烈建议,所有分叉自PancakeBunny或与 PancakeBunny同源的项目都应再次审查项目代码是否存在类似的漏洞,对代码进行安全审计。

如果从本次漏洞出现的模式看,所有分叉自其它项目的项目都应提高警惕。这类具有同源性质的多个项目,无论其漏洞本身隐藏得多么深,但只要发生一次、被业界公开,其它的同源项目都应该引起警示并马上着手整改。因为此类漏洞一旦被披露,理论上项目方是有足够的时间来修正问题的。只要项目方在漏洞发生的第一时间对本项目代码进行二次审计和测试,本项目受到后续攻击是完全可以避免的。

因此灵踪安全再次提醒项目方,尤其是分叉自其它项目的项目方,每当同源项目受到攻击时,应立刻着手对本项目代码进行再次审计,避免项目重蹈覆辙。

关于灵踪安全:

灵踪安全科技有限公司是一家专注区块链生态安全的公司。灵踪安全科技主要通过“代码风险检测+逻辑风险检测“的一体化综合方案服务了诸多新兴知名项目。公司成立于2021年01月,团队由一支拥有丰富智能合约编程经验及网络安全经验的团队创建。

团队成员参与发起并提交了以太坊领域的多项标准草案,包括ERC-1646、ERC-2569、ERC-2794,其中ERC-2569 被以太坊团队正式收入。

团队参与了多项以太坊项目的发起及构建,包括区块链平台、DAO组织、链上数据存储、去中心化交易所等项目, 并参与了多个项目的安全审计工作,在此基础上基于团队丰富的经验构建了完善的漏洞追踪及安全防范系统。

作者:

灵踪安全CEO 谭粤飞

美国弗吉尼亚理工大学(Virginia Tech, Blacksburg, VA, USA) 工业工程(Industrial Engineering) 硕士(Master)。曾任美国硅谷半导体公司 AIBT Inc(San Jose, CA, USA) 软件工程师,负责底层控制系统的开发、设备制程的程序实现、算法的设计,并负责与台积电的全面技术对接和交流。自2011至今,从事嵌入式,互联网及区块链技术的研究,深圳大学创业学院《区块链概论》课程教师,中山大学区块链与智能中心客座研究员,广东省金融创新研究会常务理事 。个人拥有4项区块链相关专利、3本出版著作。

24小时热点

骗走了中国人5000亿MBI集团的“易物币”长什么样的

人性终究还是舍弃不掉自己贪婪的一面! 今年10月 ...

668906

区块链的特点是什么

Crv在最近被圈内评选为2020年最惨defi币

这个世界上本没有流动性,当狗庄安排了两个交易对,产生了套利空 ...

304124

区块链是什么行业

区块链+教育的应用

习近平总书记在中央政治局第十八次集体学习时曾强调,“区块链技 ...

103258

区块链官网

比特币和Libra在央行数字货币的世界中将扮演什么角色

拉古拉姆·拉詹认为比特币属于“投机资产”,而Libra则是专 ...

84879

区块链的应用领域

什么是AML/CTF程序?

“2018年反洗钱和反恐融资修订案”,于2018年4月起生效 ...

84037

Gemini 交易所

NFT艺术品交易所

NFT交易平台可以类比淘宝、闲鱼的商业模式去理解,配合NFT ...

986114

HitBTC交易所

非常硬核的LP流动性挖矿的核算

2021年1月19日20:00MDX正式上线交易挖矿和流动性 ...

766876

币安

什么是去中心化交易所(DEX)?

去中心化交易所是一个基于区块链的交易所,它不将用户资金和个人 ...

714554

bitFlyer交易所

发改委发布《产业结构调整指导目录》:挖矿或将在2021年被淘汰(附全文)

2019年4月8日,发改委发布《产业结构调整指导目录(201 ...

257760

区块链的前景

“星火·链网”正式启动

中国信息通信研究院工业互联网与物联网研究所所长金键首次介绍了 ...

294080

HitBTC交易所

热点专题

新华社:披“区块链”外衣炒作数字货币值得警惕

新华社天津11月18日电题:一些人借区块链之名炒作行骗值得警 ... 置顶

9726

2020年打假总结:存活近3年 疯狂的“传销币”GEC是怎么苟延残喘至今?

币圈从来不缺乏资金盘或是传销币,但多数都不长久,一夜之间项目 ...

2696737

区块链的作用

2020年打假总结:Pi Network项目的传销性质

曾经,号称“走路就能赚钱”拥有大量用户和广泛影响的国内APP ...

1446687

区块链的作用

柴犬币SHIB来了

受狗狗币启发,柴犬币(SHIB)近两天被创造出来。

1105076

比特

NFT艺术品交易所

NFT交易平台可以类比淘宝、闲鱼的商业模式去理解,配合NFT ...

982639

HitBTC交易所

非常硬核的LP流动性挖矿的核算

2021年1月19日20:00MDX正式上线交易挖矿和流动性 ...

766716

币安

什么是去中心化交易所(DEX)?

去中心化交易所是一个基于区块链的交易所,它不将用户资金和个人 ...

712936

bitFlyer交易所

骗走了中国人5000亿MBI集团的“易物币”长什么样的

人性终究还是舍弃不掉自己贪婪的一面! 今年10月 ...

668412

区块链的特点是什么

在Mdex上挖矿教程

Mdex是火币生态链上的去中心化交易所,Mdex挖矿于1月1 ...

597030

大都会资本

PlusToken正式跑路 你该怎么办?

今天中午,一则消息刷遍了币圈,但是伴随着消息一起传播的,是更 ...

524495

区块链的概念

最近央行提出的DC/EP是什么?

2019年8月10日,央行结算司副司长穆长春发表演讲,介绍了 ...

506468

网络资源