SWAP:經過安全審計的FSwap項目，黑客如何還能有機可乘？_TOKEN

前言

北京時間2022年6月13日，知道創宇區塊鏈安全實驗室?監測到BSC鏈上的FSwap去中心化交易所項目遭到閃電貸攻擊，導致損失1751枚BNB約39萬美元。

知道創宇區塊鏈安全實驗室?第一時間跟蹤本次事件并分析。

基礎信息

FSwap是一個去中心化交易所項目，可實現對加密資產的鏈上高效清算和資產的跨鏈交易。

加密貨幣投資者重新關注股市，以此判斷最糟糕的時期是否已經過去:8月7日消息，在經歷了一波動蕩和關乎生死存亡的焦慮之后，數字資產投資者又開始關注美國股市的情緒，以此來判斷最糟糕的時期是否已經過去。

Bloomberg Intelligence分析師Mike McGlone表示，“如果股市已經觸底”，加密貨幣的表現就會更好。“在市場中，沒有什么比上半年股市高速下跌時更強大的力量了。加密貨幣是其中一部分。”

今年以來，這種情況屢見不鮮，股票和加密貨幣的走勢也類似。背景是鷹派的美聯儲決心遏制40年來的高通脹，這是2022年各種資產波動的根源。

但是，股市和加密貨幣是否已經觸底是一個沒有人能真正確定的問題——只有在事實發生后才能看到底部，而且它們都有可能在今年晚些時候甚至明年年初重新觸及低點。（彭博社）[2022/8/8 12:08:35]

攻擊者地址：0x000c84c59385b64c3ea4d48cc3fca1f08f3abcfc

聲音 | BM：通過電話、藍牙和加密（應用） 我們可以傳播和復制那些經過身份驗證的消息:據MEET.ONE 報道，今日晨間，BM 在 Voice 電報群中與社區成員積極互動，談論關于信息傳播的話題：

1.如果我們只能通過藍牙傳遞消息，那會有多少人參與傳播呢？我認為人們會懶得傳播，且對此失去興趣。

2.隨后，有成員回復：你指的是像人與人之間那樣的真實接觸？BM：是的，在溝通中，會有傳播（信息）的需求和接收（信息）的需求。有些人會是信息的制造者，另一些人則是信息的接收者；

3.可以想象一下，在互聯網出現之前，信息是如何流動的，需要通過圖書館，文件等介質傳播。現在，通過電話、藍牙和加密（應用），我們可以傳播和復制那些經過身份驗證的消息。[2019/6/14]

攻擊合約：0x7437e7a923a5b467a197c6fae991f0f0ced9af57

聲音 | 火幣李林：生態項目都經過火幣生態基金的盡調:火幣創始人李林在朋友圈發布討論行業生態，內容如下：

生態專區上線的項目特點：

1、火幣投資。生態項目都經過火幣生態基金的盡調，具有一定的用戶和品牌基礎。

2、深度合作。生態項目都是交易所上下游企業，在業務上與火幣深度協同，未來將在產品上進一步集成，在運營上深度合作。

3、Token互通。HT與生態幣互通互兌，打通火幣生態Token體系。簡單地說，生態區上線的項目都是火幣投資的早期有一定用戶和品牌基礎的區塊鏈產業項目。

這些項目和HADAX上線的其他Token類項目不同的是：

1、生態項目是為區塊鏈用戶及項目（即其他TOKEN）提供服務的項目，和交易所等業態一共構成了區塊鏈行業的服務體系。

2、生態項目經過更嚴格的盡調，不是由社區自主投票產生。

3、生態項目必然是火幣投資，而HADAX其他TOKEN，火幣只是提供交易平臺，并不一定有資本上的關聯。生態專區對項目方的價值：

1、生態專區免費上幣。降低上幣周期和成本，助力生態企業發展。

2、未來通過產品及業務集成，火幣將向生態伙伴共享火幣用戶及生態資源。

3、提升生態企業品牌。對用戶，生態專區的價值：

1、火幣與火幣生態企業，通過產品、業務、Token全方位的深度集成與合作，為用戶提供更好更優質的一站式服務，提升行業用戶體驗。

2、生態專區都是擁有一定品牌和用戶基礎的區塊鏈企業，從根本上杜絕空氣幣、傳銷幣、資金盤等行業不良項目。

3、HT持有者除了能享受生態項目上線的首次空投福利（來源于火幣生態基金投資的生態幣）以外，未來還將持續享受生態項目的成長福利（生態項目的HT分享計劃）火幣生態專區，火幣交易所與火幣生態成員的Token連接器和資本孵化器，期望能挖掘出未來區塊鏈行業的獨角售。

風險提示：盡管生態專區的項目都是經過火幣盡調并且投資，但由于本身區塊鏈行業還處于發展早期風險較大，并且生態專區的項目也是發展早期，因此投資生態專區的項目依然面臨巨大的投資風險。火幣僅提供項目的盡調以及交易中介服務，不對生態專區項目的投資回報做任何承諾。投資有風險，請在風險可以承受的范圍內謹慎投資。[2018/7/13]

tx：0xe75e30dafd865331e6a002d50effe084c21e413c96d4550d5e09cf647686fcbe

FSwapPair合約：0x0d5F1226bd91b5582F6ED54DeeE739CAC49C37Db

漏洞分析

漏洞關鍵在于FSwapPair合約中的swap方法在每次交易計算手續費時會將pair合約中的儲備token當作手續費發送給feeto地址，這將會導致池子中的代幣數量減少，從而引起代幣價格上漲，攻擊者能夠從中套利。

攻擊流程

1、攻擊者使用閃電貸在BiSwap中貸款300萬枚BSC-USD代幣，并使用255萬枚BSC-USD代幣在Fswap中換取54萬余枚MC代幣;

2、隨后攻擊者在合約中反復多次貸-還閃電貸以此消耗池子中的MC代幣，使得池中中得MC代幣數量急劇減少，價格也迅速上漲；

3、攻擊者立刻在池子中置換手中的MC代幣獲取大量BSC-USD代幣；

4、攻擊者償還閃電貸，將剩余BSC-USD代幣進行swap，獲利1751枚BNB，最后自毀合約離場。

總結

本次攻擊事件核心是項目方誤將手續費收取方設定為pair合約而不是用戶本身，從而導致池子中的代幣數量能夠被消耗，發生套利風險。

建議項目方在編寫項目時應對函數中的手續費收取邏輯實現進行嚴格的審查，此處應該將手續費收取對象設置為用戶而不是pair合約。

在此提醒項目方發布項目后一定要將私鑰嚴密保管，謹防網絡釣魚。另外，近期各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：TOKE區塊鏈SWAPTOKENDingo Token區塊鏈運用的技術中不包括哪一項內容pawswap幣上線AGPC TOKEN

比特幣價格今日行情