一、事件概覽
北京時間6月3日11時11分,鏈必安-區塊鏈安全態勢感知平臺(Beosin-Eagle Eye)輿情監測顯示,BSC鏈上項目PancakeHunny遭遇黑客攻擊。據統計,此次攻擊事件中,黑客總共獲利43ETH(合計10余萬美元)。
面對又一起發生在BSC鏈上的項目被黑事件,成都鏈安·安全團隊第一時間啟動安全應急響應,針對PancakeHunny被黑事件進行跟蹤分析,以提醒BSC鏈上各大項目切實提高安全防范意識,警惕“黑色5月”陰云的持續籠罩 。
LaunchZone的早期合約Bscex SwapX存在漏洞導致近780萬美元資金被盜,超3.4萬個地址面臨風險:3月27日消息,據Scam Sniffer監測,LaunchZone的早期合約Bscex SwapX存在漏洞,目前已有7799856美元的資金被盜。在早期批準該合約的用戶面臨風險。34065個地址處于危險之中,請用戶盡快檢查并撤銷授權。
慢霧創始人余弦對此評論稱,誰能想到2~3年前錢包地址授權的一個項目出漏洞,許多用戶一直沒取消授權,有黑客就不斷監測這些存在授權風險敞口的錢包地址,一旦發現有資金就盜走。[2023/3/27 13:28:47]
據了解,PancakeHunny是PancakeBunny的又一仿盤項目。在本次被黑事件中,黑客采取的攻擊手法大體上與此前攻擊PancakeBunny近似,均是在短時間內增發大量的代幣并拋向市場,并引起了HunnyToken幣價暴跌。
DeFi協議xWin在以太坊和BSC上推出新版升級機器人顧問平臺xWIN Finance v2:金色財經報道,DeFi 協議 xWin 宣布在以太坊和 BSC 上推出新版升級機器人顧問平臺 xWIN Finance v2,該平臺可以幫助對沖基金或投資者通過 xWIN Robo Advisor 引擎并根據風險偏好創建自己的去中心化基金,并支持包括構建個人儲備庫、將各種交易或 DeFi 策略集成到一個投資組合在內的多項功能。(madrastribune)[2023/1/16 11:13:53]
二、事件分析
BSC鏈上項目pNetwork遭攻擊 PNT短時下跌13%:9月20日消息,PeckShield派盾預警顯示,跨鏈橋 pNetwork 遭攻擊,PNT 短時下跌13%。此前報道,跨鏈協議pNetwork因代碼漏洞遭攻擊,損失約1308萬美元。[2021/9/20 23:38:00]
成都鏈安·安全團隊針對被黑代碼展開跟蹤分析,根據已披露的線索和攻擊交易上來看,黑客主要是利用了HunnyMinter函數的設計缺陷進行了攻擊,如下圖所示:
需要注意的是,mintFor函數用于將收取的手續費轉化為HunnyToken并返還給用戶;但在讀取需要轉換的手續費時,錯誤地使用了balanceOf做為參數,且在兌換HunnyToken時,使用的是固定兌換比例(當時為1 BNB:3200 HunnyToken),這給了黑客發動攻擊的可乘之機。
黑客首先向hunnyMinter合約中打入了56個cake代幣;再同時調用CakeFilpValut合約中的getReward函數,間接觸發了hunnyMinter中的mintFor函數。
此時hunnyMinter合約中因存在黑客打入的cake,導致能夠兌換大量的HunnyToken;而此時的HunnyToken的價格,已經超過設定的固定值,這使得此處存在套利空間。后續黑客一直使用相同方法進行套利,直至項目方置零固定兌換比例hunnyPerProfitBNB。
三、事件復盤
不難看出,此次事件是又一次發生在BSC鏈上的仿盤項目的被黑事件。結合5月多起諸如Merlin、AutoSharkFinance等FORK項目被黑經歷來看,黑客針對BSC鏈上仿盤項目的攻擊態勢仍然在持續發酵。在此,成都鏈安提醒各大FORK項目尤其需要注重安全風險,加強安全防范工作,切勿懈怠。
同時,針對項目本身的開發和創新,我們建議開發者需要對原生項目進行深入理解,切勿一味地照搬和模仿;特別是在安全建設方面,在同步原生項目的安全防護策略之外,也需要聯動第三方安全公司的力量,建立一套獨立自主的安全風控體系,以應對各類突發的安全風險。
今年5月是DeFi歷史上被攻擊次數最多、損失最大的一個月。在5月發生的與?DeFi?相關的25起安全事件中,閃電貸攻擊事件最多,大約有?11?起,此外,BSC是被攻擊次數最多的平臺,遭到了15起.
1900/1/1 0:00:00可以說,2020年是產業區塊鏈元年。隨著區塊鏈技術的不斷發展,積極布局區塊鏈的企業數量呈指數級增長。然而,區塊鏈還處在一個很早期的發展階段,區塊鏈應用落地仍需要不斷探索.
1900/1/1 0:00:00隨著數字經濟的蓬勃發展,“算力”一詞進入了人們的視野。在早期,算力是指比特幣等虛擬貨幣網絡處理能力的度量單位,即計算機計算哈希函數輸出的速度。后來,算力一詞逐步擴展到大數據時代的運算能力.
1900/1/1 0:00:00最近關于這兩位超級億萬富翁和 “北美主要比特幣礦商”的會面究竟是積極的還是消極的,目前還沒有定論。部分比特幣社區將其解讀為精明的公關行動,并支持比特幣礦業委員會.
1900/1/1 0:00:00摘要 數字貨幣的出現給反洗錢業務帶來全新的挑戰,這種挑戰與區塊鏈技術本身的去中心化、匿名性直接相關.
1900/1/1 0:00:00各省、自治區、直轄市及計劃單列市、新疆生產建設兵團工業和信息化主管部門、網信委: 區塊鏈是新一代信息技術的重要組成部分,是分布式網絡、加密技術、智能合約等多種技術集成的新型數據庫軟件.
1900/1/1 0:00:00