Flurry Finance被盜事件分析：項目不立于「危墻之下」-ODAILY_FLUX

北京時間2022年2月22日下午1:46，CertiK安全專家團隊檢測到與FlurryFinance相關的一系列可疑活動，FlurryFinance的Vault合約受到攻擊，價值約29.3萬美元的資產被盜。

下文CertiK安全團隊將從合約地址及攻擊操作等方面為大家進行詳細的解讀并分析。

攻擊步驟

①攻擊者部署了一個惡意代幣合約，并為代幣和BUSD創建了一個PancakeSwap交易對。

攻擊者：https://bscscan.com/address/0x0f3c0c6277ba049b6c3f4f3e71d677b923298b35

Conflux聯合創始人&CTO伍鳴：區塊鏈的發展瓶頸在用戶基數和用戶體驗上:金色財經現場報道，與時共創2020金色財經頒獎盛典12月26日在三亞舉行。在圓桌論壇“如何突破技術到應用的瓶頸？”環節，Conflux聯合創始人&CTO伍鳴表示，區塊鏈從技術到應用的發展瓶頸在用戶基數和用戶體驗上，這和公鏈性能和交易費有關。比如在性能上，今年DeFi火爆導致以太坊網絡擁堵，體驗很糟糕，需要公鏈性能不斷突破；同時以太坊交易費高昂，公鏈需要降低使用交易費門檻，這方面Conflux使用的是交易費代付機制。另外，還需要跨鏈基礎設施建設，把多條鏈上的資產互聯互通。[2020/12/26 16:33:40]

惡意代幣合約：https://bscscan.com/address/0xb7a740d67c78bbb81741ea588db99fbb1c22dfb7

CoinEx上線Conflux(CFX):CoinEx公告消息，2020年11月9日（UTC+8）CoinEx正式開放CFX充值并于明日上線CFX/BTC，CFX/USDT交易對。為慶祝CFX上線，CoinEx將開啟充值交易瓜分活動，11月9日20:00-11月16日08:00活動期間，充值CFX即可獲得USDT獎勵。詳情見官網公告。

Conflux網絡致力于利用自主研發的樹圖高性能共識算法，搭建一個無需準入并擁有極高包容性的平臺，驅動DApps、Web3.0及開放式金融在Conflux網絡中蓬勃發展。[2020/11/9 12:06:50]

PancakeSwap交易對：https://bscscan.com/address/0xca9596e8936aa8e902ad7ac4bb1d76fbc95e88bb

Cobo錢包宣布支持Conflux網絡:據官方消息，Cobo錢包近日宣布已支持Conflux網絡，并已上線Conflux代幣收發功能，Cobo旗下Cobo托管和Cobo金庫業務線也將陸續支持Conflux網絡。

Conflux成立于2018年，擁有區塊鏈行業內頂尖的理論和研發團隊。Conflux致力于打造下一代高性能的公鏈平臺，解決了高并發網絡中因分叉造成的計算資源浪費和隨之降低的安全性問題。Conflux是一個在不犧牲去中心化程度及安全性的情況下實現高TPS的區塊鏈網絡。

Cobo致力于為用戶提供安全、可靠的存儲與支付環境，公司旗下業務模塊包括支持Cobo錢包、面向機構的錢包開發及數字資產托管解決方案Cobo托管、安全硬件數字錢包Cobo金庫。其中，Cobo錢包支持40多種主流數字資產、900多種代幣，并通過期權結構化產品、固定收益類產品、Staking增益、套期保值等金融產品為用戶提供一站式資產保值增值服務。[2020/8/5]

②攻擊者從Rabbit的Bank合約中進行閃電貸，并觸發了StrategyLiquidate的execute方法。

Conflux聯合TEEX上線一款去中心化小程序畫押:據官方消息，3月14日，Conflux聯合TEEX上線一款去中心化小程序畫押，基于Conflux公鏈開發，類似于悄悄話，是款去中心化存證小程序，其信息存于Conflux公鏈上包含時間戳和電子簽證，具有不可篡改，不可逆的特性。[2020/3/13]

execute方法將輸入數據解碼為LP代幣地址，并進一步得到惡意代幣合約地址。

攻擊者利用惡意代幣合約中的攻擊代碼發起初步攻擊：https://bscscan.com/address/0xbeeb9d4ca070d34c014230bafdfb2ad44a110142

StrategyLiquiddate合約：https://bscscan.com/address/0x5085c49828b0b8e69bae99d96a8e0fcf0a033369

動態 | 對CoinFlux的首席執行官Vlad Nistor的審判被推遲至6月15日:由于日程安排沖突，對CoinFlux的首席執行官Vlad Nistor的審判被推遲至2020年6月15日，檢察官估計審判將持續約3周。此前，Vlad Nistor被美國當局指控涉及有組織犯罪、洗錢和欺詐。（CryptoNinjas）[2020/2/5]

③惡意代幣合約調用FlurryRebaseUpkeep合約的performUpkeep方法，對Vault合約的相關金額進行重新統計，并更新了與之相關的Rho代幣的multiplier。

此處的multiplier將用于Rho代幣的余額計算。對Vault合約的相關金額進行重新統計，并更新了與之相關的Rho代幣的multiplier。此處的multiplier將用于Rho代幣的余額計算。該更新基于與Vault合約相關的盈利策略合約里的余額。

更新是在閃電貸的過程中觸發的，此時的閃電貸還未結束，借出的金額也還未歸還，因此Bank合約的當前余額遠小于正常值。此Bank合約也是某個strategy的一部分，因而使得某strategy的余額小于正常值，進一步導致multiplier小于正常值。

FlurryRebaseUpkeep合約：https://bscscan.com/address/0x10f2c0d32803c03fc5d792ad3c19e17cd72ad68b

其中一個Vault的合約：https://bscscan.com/address/0xec7fa7a14887c9cac12f9a16256c50c15dada5c4

④攻擊者歸還了閃電貸的款項并完成了初步攻擊，且為進一步攻擊獲利做好了準備。

⑤在緊接著的交易中，攻擊者以前一次交易中得到的低multiplier存入代幣，將multiplier更新為更高的值，并以高multiplier提取代幣。例如，在其中一筆初步攻擊的交易中，multiplier被更新為4.1598e35。

在進一步攻擊的交易中multiplier被更新為4.2530e35。

攻擊實例：https://bscscan.com/tx/0x923ea05dbe63217e5d680b90a4e72d5552ade9e4c3889694888a2c0c1174d830

https://bscscan.com/tx/0x646890dd8569f6a5728e637e0a5704b9ce8b5251e0c486df3c8d52005bec52df

⑥因為multiplier乘數是決定Rho代幣余額的因素之一：

攻擊者的Rho代幣余額在交易中增加了，所以ta能夠從Vault中提取更多的代幣。

⑦攻擊者多次重復這一過程，從Vault合約中盜走了價值29.3萬美元的資產。

寫在最后

該次事件主要是由外部依賴性引起的。

因此CertiK的安全專家建議：項目在與外部合約交互之前應對其安全性有清晰的認知，并且限制外部依賴可能對自身合約的影響。

本次事件的預警已于第一時間在CertiK官方推特進行了播報。

除此之外，CertiK官網https://www.certik.com/已添加社群預警功能。在官網上，大家可以隨時看到與漏洞、黑客襲擊以及RugPull相關的各種社群預警信息。

近期攻擊事件高發，加密項目方及用戶們應提高相關警惕并及時對合約代碼進行完善和審計。除此之外，技術團隊應及時關注已發生的安全事件，并且檢查自己的項目中是否存在類似問題。

Tags：FLUXLUXNFLULTconflux幣手機怎么挖Lux Bio CellINFLEX價格Yearn Compounding veCRV yVault

XLM