鴕鳥區塊鏈

SharkTeam獨家分析 | 閃電貸攻擊:MY FARM PET被黑事件分析

SharkTeam 2021-10-08 17:29
摘要:

MY FARM PET被黑事件分析

北京時間10月6日,BSC上GameFi平臺MY FARM PET遭受閃電貸攻擊。SharkTeam第一時間對此事件進行了攻擊分析和技術分析,并總結了安全防范手段,希望后續的區塊鏈項目可以引以為戒,共筑區塊鏈行業的安全防線。

image.png

一、事件分析

攻擊者地址0x27d6e533a7d8e6f7ed88150b000cbea6ff8083c7

攻擊合約0x412e4d5351a07f3fa1a2e07f3ebfbc291aa6ada1 

image.png

步驟1 通過閃電貸借出340000 BUSD,將其兌換為My Farm Pet Token;

步驟2 攻擊合約用999.9 My Farm Pet Token,從MarketPlaceV2合約(0x00cc93)兌換出70555534.2 My Farm Pet:Chicken Food Token(與My Farm Pet Token不是一種Token);

image.png

image.png

此時,可以看到攻擊合約調用getBaseTokenPrice函數,獲取My Farm Pet:Chicken Food Token價值為8,503,939,581,120,738

image.png

步驟3將21267.3 My Farm Pet Token(數值與步驟1兌換的Token減去步驟2消費的Token、一致)通過PancakeSwap兌換成BUSD;

步驟4攻擊合約將步驟2兌換的全部My Farm Pet:Chicken Food Token出售(銷毀)給MarketPlaceV3合約(0x41c26e),MarketPlaceV3合約計算當前My Farm Pet:Chicken Food Token的價格,將46249.3 My Farm Pet Toke轉入攻擊合約;

此時可以看到當攻擊合約再次調用getBaseTokenPrice函數,獲取My Farm Pet:Chicken Food Token價值為462,708,269,111,432,582,約為最初調用獲取價格的54.4倍。

image.png

步驟5 將46249.3 My Farm Pet Token通過PancakeSwap兌換成BUSD;

步驟6 將340884 BUSD歸還閃電貸并將獲利資金價值31405.5美元的BUSD轉入攻擊者地址(0x27d6e5)。

整個過程,攻擊者將通過閃電貸借出資金,將999.9 My Farm Pet Token通過MarketPlaceV2合約兌換成70555534.2 My Farm Pet:Chicken Food Token,再經過一系列的操作操縱My Farm Pet:Chicken Food Token 的價格,隨后將所有兌換到的 My Farm Pet:Chicken Food Token通過MarketPlaceV3合約兌換成46249.3 My Farm Pet Token,最后將其通過PancakeSwap兌換成BUSD,歸還閃電貸并獲利。其根本原因在于攻擊者通過攻擊合約多次觸發getBaseTokenPrice函數,這個函數中的價格預言機實現機制存在漏洞,使得能夠操縱My Farm Pet:Chicken Food Token的價格。目前攻擊者依舊在不斷地通過混幣平臺Tornado.Cash將盜取資金轉移。

image.png

二、安全建議

此次事件是又一次與閃電貸有關的安全事件,DeFi項目的業務邏輯設計復雜,涉及的經濟學計算和參數較多,卻不同項目和協議之間可組合性極其豐富,很難預測,非常容易出現安全漏洞,而此問題也已出現在GameFi領域。如下表,利用閃電貸這種新型產品進行攻擊的安全事件在過去的一年里層出不窮,已增加到44起。通常閃電貸攻擊包括“哄抬套利”、“操縱預言機”、“重入攻擊”和“技術漏洞”四種,本次屬于基于利用“操縱預言機”進行的閃電貸攻擊。

image.png

SharkTeam提醒您,在涉足區塊鏈項目時請提高警惕,選擇更穩定、更安全,且經過完備多輪審計的公鏈和項目,切不可將您的資產置于風險之中,淪為黑客的提款機。而作為項目方,智能合約安全關系用戶的財產安全,至關重要!區塊鏈項目方應與專業的安全審計公司合作,進行多輪審計,避免合約中的狀態和計算錯誤,為用戶的數字資產安全和項目本身安全提供保障。

SharkTeam作為領先的區塊鏈安全服務團隊,為開發者提供智能合約審計服務。智能合約審計服務由人工審計和自動化審計構成,滿足不同客戶需求,獨家實現覆蓋高級語言層、虛擬機層、區塊鏈層、業務邏輯層四個方面近兩百項審計內容,全面保障智能合約安全。

image.png

==

和2萬人一起加入鴕鳥社群

添加QQ群:645991580

添加TG群:鴕鳥中文社區 https://t.me/tuoniaox

聲明: 鴕鳥區塊鏈所有發布內容均為原創或授權發布,如需轉載,請務必注明文章作者以及來源:鴕鳥區塊鏈(微信公眾號:MyTuoniao),任何不尊重原創的行為鴕鳥區塊鏈都將進行責任追究!鴕鳥區塊鏈報道和發布內容,不構成任何投資建議。

SharkTeam

——

64 篇 作品
斗牌TV宝爷