BTC/HKD-0.93%
ETH/HKD-0.67%
LTC/HKD+0.29%
DOT/HKD-0.45%
ADA/HKD+0.02%
SOL/HKD-0.47%
XRP/HKD+0.38%
DOGE/US-0.3%一、事件概覽
美國東部標準時間5月12日上午9:44分，鏈必安-區塊鏈安全態勢感知平臺（Beosin-Eagle Eye）監測顯示，DeFi質押和流動性策略平臺xToken遭到攻擊，xBNTa Bancor池以及xSNXa Balancer池立即被耗盡。據統計，此次xToken被黑事件造成約2500萬美元的損失。
盡管在事件后，xToken團隊第一時間發布聲明，并針對被黑原因以及后續補救措施，作出積極回應；但成都鏈安·安全團隊認為此次xToken被黑事件具備相當程度的典型性，涉及到閃電貸攻擊、價格操控等黑客常用攻擊套路，因此立即介入分析，將xToken被黑事件的攻擊流程進行梳理，希望以此為鑒，為廣大DeFi項目方敲響警鐘。
CertiK：EFVault的代理合約ENF ETHLEV經歷了一次閃電貸攻擊:金色財經報道，據CertiK官方推特發布消息稱，EFVault的代理合約ENF_ETHLEV經歷了一次閃電貸攻擊。據悉，攻擊者進行了多筆利用攻擊，獲利528,000美元。[2023/8/9 21:34:23]
二、事件分析
在本次被黑事件中，攻擊者共計在同一筆交易中利用了兩個典型攻擊套路。
其一，黑客利用了閃電貸操作DEX中SNX的價格，進而影響了xSNX中的鑄幣，旨在達到套利的目的；
Cream Finance遭遇閃電貸攻擊，損失1800萬美元:據Peckshield推特消息，抵押借貸平臺Cream Finance遭遇閃電貸攻擊，損失1800萬美元。[2021/8/30 22:46:46]
其二，黑客利用了xBNT合約中的錯誤的權限配置，傳入預期外的路徑地址，從而達到利用空氣幣完成獲利的目的。
接下來，我們一起來還原一下黑客是如何利用“閃電貸攻擊?+ 錯誤權限配置”，完成了整個攻擊流程的。
BSC鏈上DeFi協議xWin發布閃電貸攻擊總結，共計損失1007枚BNB:官方消息，BSC鏈上DeFi協議xWin發布此次遭遇閃電貸攻擊的總結，BSC鏈上區塊編號為8589726和8589740。據介紹，xWIN協議中有4種方式可獲得xWIN代幣獎勵：xWIN推薦系統、xWIN獎勵系統、xWIN資金庫所有者/經理獎勵系統、以及xWIN資金庫代幣挖礦和質押。xWin團隊決定終止推薦費系統、獎勵費系統、經歷獎勵費系統。此前推薦地址中累積的所有獎勵費和推薦費仍然可以提取。
此前消息，PeckShield派盾預警顯示，BSC鏈上DeFi協議xWin遭到閃電貸攻擊。[2021/6/27 0:09:41]
?? ?準備工作
BSC鏈上自動做市商BurgerSwap再遭閃電貸攻擊:6月5日凌晨消息，PeckShield派盾預警顯示，BSC鏈上自動做市商BurgerSwap再次遭到閃電貸攻擊，致使Dekbox ($DEK) 價格大幅下跌。[2021/6/5 23:14:01]
1、攻擊者首先利用閃電貸借出大量資金；
2、分別利用Aave的借貸功能和Sushiswap的DEX等功能，以獲取大量的SNX代幣；
3、再在Uniswap大量拋售SNX，進而擾亂SNX在Uniswap的價格；
?? ?攻擊開始
4、使用少量的ETH獲得大量的xSNX；
原理解釋：
此次攻擊者利用了xSNX合約支持ETH和SNX進行兌換xSNX的機制。具體而言，當用戶傳入ETH后，合約會將用戶的ETH通過Uniswap兌換為等值的SNX之后再進行xSNX的兌換。由于攻擊者在“準備工作”中的1~3的操作，此時Uniswap中的ETH對SNX的價格是被操縱的，這就使得少量的ETH能夠兌換大量的SNX，進而再兌換大量的xSNX。
?? ?攻擊收尾
5、攻擊者在Bancor中售賣獲利，由于Bancor中的價格并未受到影響，因此價格彼時仍然是正常的。此時攻擊者得以套利，之后歸還閃電貸；
?? ?第二次攻擊開始
6、再利用獲得的利潤來兌換大量的xBNT。
此次攻擊者利用了xBNT合約支持ETH鑄幣xBNT的功能，合約會將ETH在Bancor中轉化為BNT后進行鑄造xBNT，但需要注意的是，此鑄造函數可以指定兌換路徑，即不需要兌換成BNT也可進行鑄造，這就使得攻擊者能夠任意指定兌換代幣的地址。
三、事件復盤
在xToken團隊的官方回應中，表達了對此次被黑事件造成的資產損失深感遺憾，并提到在未來即將推出的產品中會引入一項安全功能，以防止此類攻擊。但遺憾的是，由于尚未在整個產品系列中引入這一安全功能，由此導致2500萬美元資金損失。
針對xToken被黑事件，成都鏈安·安全團隊在此提醒，隨著各大DeFi項目的不斷發展，整個DeFi世界將越來越多變，新型項目往往會與之前的DeFi項目在各個方面進行交互，如上文提及的Aave和DEX等等。因此，在開發新型DeFi項目之時，不光需要注意自身邏輯的安全與穩定，還要考慮到自身邏輯與利用到的基礎DeFi項目的整體邏輯是否合理。
同時，我們建議，各大DeFi項目方也需要積極與第三方安全公司構建聯動機制，通過開展安全合作、建立安全防護機制，做好項目的前置預防工作與日常防護工作，時刻樹牢安全意識。
在以太坊開發者核心電話會議上,開發者仍將主網倫敦升級定于 7 月 14 日,不過需要在第一個測試網成功分叉后,再確定主網客戶端升級區塊。另外,開發者已同意將難度炸彈推遲到 12 月納入升級.
1900/1/1 0:00:00對迫在眉睫的全球債務危機的擔憂,使世界頂級對沖基金經理從懷疑比特幣（BTC）到逐步接受它。橋水創始人Ray Dalio說,美元即將貶值,貶值幅度會達到1971年的水平,中國正威脅著美元作為世界儲.
1900/1/1 0:00:001.5·21后 6家機構暫停面向中國大陸用戶服務整治虛擬貨幣市場的行為上升到國務院高度,很顯然新一輪嚴監管即將啟幕。礦業和交易所作為此一輪的重點打擊對象,部分相關機構已做出行動.
1900/1/1 0:00:00二層協議拓寬了比特幣用戶的選項。它們能使比特幣的可擴展性增強,包括降低交易成本,提高速度和增加匿名性.
1900/1/1 0:00:00在區塊鏈行業,我們時不時會談到某些加密貨幣的市值以及排名。那么,加密貨幣的市值是怎么計算的呢？對我們而言,有什么參考價值呢？ 什么是加密貨幣的市值? 加密貨幣的市值其實跟股票市值類似,是一個通過.
1900/1/1 0:00:00金色財經 區塊鏈5月25日訊??自五月中旬加密貨幣市場出現暴跌之后,黃金價格出現明顯回升。根據TradingView數據,本周二黃金價格持續小幅上漲,并于美國東部時間凌晨3:00達到每盎司1,8.
1900/1/1 0:00:00
比特幣交易所
