BTC/HKD+0.26%
ETH/HKD+0.12%
LTC/HKD+0.56%
DOT/HKD+1.3%
ADA/HKD+0.7%
SOL/HKD+0.35%
XRP/HKD+0.13%
DOGE/US+0.16%一、事件概覽
美國東部標準時間5月12日上午9:44分，鏈必安-區塊鏈安全態勢感知平臺監測顯示，DeFi質押和流動性策略平臺xToken遭到攻擊，xBNTaBancor池以及xSNXaBalancer池立即被耗盡。據統計，此次xToken被黑事件造成約2500萬美元的損失。
盡管在事件后，xToken團隊第一時間發布聲明，并針對被黑原因以及后續補救措施，作出積極回應；但成都鏈安·安全團隊認為此次xToken被黑事件具備相當程度的典型性，涉及到閃電貸攻擊、價格操控等黑客常用攻擊套路，因此立即介入分析，將xToken被黑事件的攻擊流程進行梳理，希望以此為鑒，為廣大DeFi項目方敲響警鐘。
Certik復盤Yearn閃電貸攻擊：黑客完成5次DAI與USDT從3crv中存取操作后償還閃電貸:Certik發布文章，復盤Yearn閃電貸攻擊。黑客操作的具體操作如下：
1.利用閃電貸籌措攻擊所需初始資金。
2.利用 Yearn.Finance 合約中漏洞，反復將 DAI 與 USDT 從 3crv 中存入和取出操作，目的是獲得更多的3Crv代幣。這些代幣在隨后的3筆轉換代幣交易中轉換為了USDT與DAI穩定幣。
3.完成5次重復的DAI 與 USDT 從 3crv 中存取操作后，償還閃電貸。[2021/2/5 18:57:51]
二、事件分析
Aave v2 版將新增閃電貸批處理功能:去中心化借貸協議 Aave v2 版將新增閃電貸批處理功能。Aave 首席工程師 David Truong 目前正在對此功能進行交易測試。[2020/11/27 22:19:00]
在本次被黑事件中，攻擊者共計在同一筆交易中利用了兩個典型攻擊套路。
其一，黑客利用了閃電貸操作DEX中SNX的價格，進而影響了xSNX中的鑄幣，旨在達到套利的目的；
其二，黑客利用了xBNT合約中的錯誤的權限配置，傳入預期外的路徑地址，從而達到利用空氣幣完成獲利的目的。
BiKi閃電貸將于6月28日16:30上線OKS:據BiKi官方消息，BiKi閃電貸將于6月28日16:30上線OKS（Oikos），支持質押OKS借貸USDT，可登陸APP查看借貸詳情。
Oikos是一家基于Tron的合成資產平臺，提供法定貨幣、商品、股票和指數的區塊鏈上交易。 合成資產(Synths)由OKS作為抵押物，作為智能合同的擔保。 Synths跟蹤各種資產的價格，允許加密用戶和無銀行用戶在Oikos交易所上交易P2C（對等合同）,而不受流動性限制。[2020/6/28]
接下來，我們一起來還原一下黑客是如何利用“閃電貸攻擊?錯誤權限配置”，完成了整個攻擊流程的。
???準備工作
1、攻擊者首先利用閃電貸借出大量資金；
2、分別利用Aave的借貸功能和Sushiswap的DEX等功能，以獲取大量的SNX代幣；
3、再在Uniswap大量拋售SNX，進而擾亂SNX在Uniswap的價格；
???攻擊開始
4、使用少量的ETH獲得大量的xSNX；
原理解釋：
此次攻擊者利用了xSNX合約支持ETH和SNX進行兌換xSNX的機制。具體而言，當用戶傳入ETH后，合約會將用戶的ETH通過Uniswap兌換為等值的SNX之后再進行xSNX的兌換。由于攻擊者在“準備工作”中的1~3的操作，此時Uniswap中的ETH對SNX的價格是被操縱的，這就使得少量的ETH能夠兌換大量的SNX，進而再兌換大量的xSNX。
???攻擊收尾
5、攻擊者在Bancor中售賣獲利，由于Bancor中的價格并未受到影響，因此價格彼時仍然是正常的。此時攻擊者得以套利，之后歸還閃電貸；
???第二次攻擊開始
6、再利用獲得的利潤來兌換大量的xBNT。
原理解釋：
此次攻擊者利用了xBNT合約支持ETH鑄幣xBNT的功能，合約會將ETH在Bancor中轉化為BNT后進行鑄造xBNT，但需要注意的是，此鑄造函數可以指定兌換路徑，即不需要兌換成BNT也可進行鑄造，這就使得攻擊者能夠任意指定兌換代幣的地址。
三、事件復盤
在xToken團隊的官方回應中，表達了對此次被黑事件造成的資產損失深感遺憾，并提到在未來即將推出的產品中會引入一項安全功能，以防止此類攻擊。但遺憾的是，由于尚未在整個產品系列中引入這一安全功能，由此導致2500萬美元資金損失。
針對xToken被黑事件，成都鏈安·安全團隊在此提醒，隨著各大DeFi項目的不斷發展，整個DeFi世界將越來越多變，新型項目往往會與之前的DeFi項目在各個方面進行交互，如上文提及的Aave和DEX等等。因此，在開發新型DeFi項目之時，不光需要注意自身邏輯的安全與穩定，還要考慮到自身邏輯與利用到的基礎DeFi項目的整體邏輯是否合理。
同時，我們建議，各大DeFi項目方也需要積極與第三方安全公司構建聯動機制，通過開展安全合作、建立安全防護機制，做好項目的前置預防工作與日常防護工作，時刻樹牢安全意識。
親愛的用戶： DigiFinex將于2021年5月14日上線NWC,并于2021年5月15日16:00(GMT8)開放NWC/USDT,NWC/BTC交易服務.
1900/1/1 0:00:00自2020年再度引爆市場的DeFi熱度依舊,DeFi逐漸表現出強大的金融范式所引發的市場效應開始出現,主流投資也開始涉足DeFi,其出圈效應帶來更加廣泛的行情支撐.
1900/1/1 0:00:00尊敬的用戶： 由于Chia官方礦池方案規則的改動,導致原有挖礦規則無法正常執行,待5月17日Chia官方公布最新礦池方案后,WBF將第一時間進行調整重新P盤,此次重新P盤產生費用.
1900/1/1 0:00:00比特幣行情凌晨如期承壓回落,快速下探3000點,在空頭以及套盤資金得以釋放后,早間行情開始逐步反彈,當前價格再次回到50000.
1900/1/1 0:00:00親愛的AscendEX用戶：AscendEX平臺將會根據“上幣項目管理規則”定期審核所有上幣項目,如有出現以下一種或者多種情形.
1900/1/1 0:00:00BTC行情分析： 比特幣這幾日一直在55000-60000大區間來回震蕩,主要原因是資金風流比較嚴重,整體日線偏偏震蕩,現在明顯55000是強支撐,大方向還是漲勢沒有改變,即便是昨日強勢的下跌.
1900/1/1 0:00:00
比特幣交易所
