Avalanche 链上闪电贷攻击事宜: Zabu Finance 被黑剖析

皇冠代理登录线路www.x2w333.com)实时更新发布最新最快的皇冠会员登录线路、皇冠代理登录线路、皇冠手机网址、皇冠手机网址线路、皇冠手机网址登录网址、皇冠手机网址管理端、皇冠手机网址手机版登录网址、新2手机皇冠登录网址。

据慢雾区新闻, 2021 年 9 月 12 日,Avalanche 上 Zabu Finance 项目遭受闪电贷攻击,慢雾平安团队第一时间介入剖析,并将剖析效果分享如下。 

相关信息

Zabu Finance 是 Avalanche 上的下一代 *** 化金融 (DeFi) 项目。Zabu Finance 成熟的生态系统包罗收益聚合、收益耕作、抵押、筹款。

以下是本次攻击涉及的详细地址:

攻击流程

1、攻击者首先确立两个攻击合约,随后通过攻击合约 1 在 Pangolin 将 WAVAX 兑换成 SPORE 代币,并将获得的 SPORE 代币抵押至 ZABUFarm 合约中,为后续获取 ZABU 代币奖励做准备。
2、攻击者通过攻击合约 2 从 Pangolin 闪电贷借出 SPORE 代币,随后最先不停的使用 SPORE 代币在 ZABUFarm 合约中举行`抵押/提现`操作。由于 SPORE 代币在转账历程中需要收取一定的手续费 (SPORE 合约收取),而 ZABUFarm 合约现实吸收到的 SPORE 代币数目是小于攻击者传入的抵押数目的。剖析中我们注重到 ZABUFarm 合约在用户抵押时会直接记任命户传入的抵押数目,而不是纪录合约现实收到的代币数目,但 ZABUFarm 合约在用户提现时允许用户所有提取用户抵押时合约纪录的抵押数目。这就导致了攻击者在抵押时 ZABUFarm 合约现实吸收到的 SPORE 代币数目小于攻击者在提现时 ZABUFarm 合约转出给攻击者的代币数目。
3、攻击者正是行使了 ZABUFarm 合约与 SPORE 代币兼容性问题导致的记账缺陷,从而不停通过抵押/提现操作将 ZABUFarm 合约中的 SPORE 资金消耗至一个极低的数值。而 ZABUFarm 合约的抵押奖励正是通过累积的区块奖励除合约中抵押的 SPORE 代币总量介入盘算的,因此当 ZABUFarm 合约中的 SPORE 代币总量降低到一个极低的数值时无疑会盘算出一个极大的奖励数值。
4、攻击者通过先前已在 ZABUFarm 中有举行抵押的攻击合约 1 获取了大量的 ZABU 代币奖励,随后便对 ZABU 代币举行了抛售。

MistTrack 剖析历程

慢雾 AML 团队剖析统计,本次攻击黑客赚钱约 60 万美元。

资金流向剖析

慢雾 AML 旗下 MistTrack 反洗钱追踪系统剖析发现,以太坊上的攻击者地址 (0x9ed...f86) 初始资金来自混币平台 Tornado.Cash 转入的 31 ETH。

接着,将 30 WETH 跨链到 Avalanche。

攻击者在 Avalanche 上划分确立了攻击合约 1 和 2。

Allbet电脑版下载

欢迎进入Allbet电脑版下载(www.aLLbetgame.us),欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。

接着,攻击者通过攻击合约 1 将 WAVAX 兑换为 SPORE,并将 SPORE 抵押到 ZABUFarm 合约中。

攻击者通过攻击合约 2 从 Pangolin 闪电贷借出 SPORE 代币,随后多次在 ZABUFarm 合约中举行抵押/提现操作。

在赚钱后,攻击者将赚钱的约 45 亿 ZABU 代币多次兑换为 WAVAX 代币,再将 WAVAX 代币兑换为 201 WETH.e。

接着,攻击者将赚钱的 WETH.e 跨链到以太坊。

没有任何停歇,攻击者直接将赚钱资金通过 Tornado.Cash 转出。

经由以上剖析,可以以为攻击者是较为专业的,绝不模糊地直接从 Tornado.Cash 转入初始资金,最后又通过 Tornado.Cash 顺遂将赚钱资金转出。

总结

此次攻击是由于 Zabu Finance 的抵押模子与 SPORE 代币不兼容导致的,此类问题导致的攻击已经发生的多起,慢雾平安团队建议:项目抵押模子在对接通缩型代币时应记任命户在转账前后合约现实的代币转变,而不是依赖于用户传入的抵押代币数目。

查看更多

新2网址

新2网址(www.x2w00.com)实时更新发布最新最快的新2代理线路、新2会员线路、新2备用登录网址、新2手机版登录网址、新2皇冠登录网址。

  • 评论列表:
  •  欧博官网(www.aLLbetgame.us)
     发布于 2021-09-24 00:02:17  回复
  • 关注我好吗
    •  usdt套利(www.usdt8.vip)
       发布于 2021-09-24 23:52:21  回复
    •   嘉必优 2020 年境外产物销售收入 1.15亿元,占主营营业收入的比例为 35.61%,外销收入占对照高。都不用我夸了
      •  USDT法币交易(www.usdt8.vip)
         发布于 2021-09-25 10:49:07  回复
      • 戴资颖19日在IG限时动态曝光加入东京奥运下榻的饭馆,不少网友看到后质疑为何「天下球后住这么阳春?」戴资颖父亲戴楠凯回应:「饭馆没事,离场馆近对选手很好。」这个故事线比较完整
    •  皇冠开户(www.huangguan.us)
       发布于 2021-09-24 07:41:51  回复
    • 中新社北京6月17日电 115:66,中国男篮17日在菲律宾大胜中国台北队,收获了2021亚洲杯男篮预选赛的两连胜。 高智商高情商啊
  •  新2手机管理端(www.22223388.com)
     发布于 2021-09-28 00:01:26  回复
  • USDT跑分平台(www.Uotc.vip)是使用TRC-20协议的Usdt官方交易所,开放USDT帐号注册、usdt小额交易、usdt线下现金交易、usdt实名不实名交易、usdt场外担保交易的平台。免费提供场外usdt承兑、低价usdt渠道、Usdt提币免手续费、Usdt交易免手续费。U担保开放usdt otc API接口、支付回调等接口。别结局,我还想一直看

添加回复:

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。