被薅了 APE 空投漏洞簡析_NFT

北京時間2022年3月17日，我們的系統監控到涉及APECoin的可疑交易，根據twitter用戶WillSheehan的報告，套利機器人通過閃電貸薅羊毛，拿到6W多APECoin。

我們經過分析后，發現這和APECoin的空投機制存在漏洞有關。具體來說，APECoin決定能否空投取決于某一個用戶是否持有BYACNFT的瞬時狀態，而這個瞬時狀態攻擊者是可以通過借入閃電貸然后redeem獲得BYACNFT來操縱的。攻擊者首先通過閃電貸借入BYACToken，然后redeem獲得BYACNFT。然后使用這一些NFT來claim空投的APE，最后將BYACNFTmint獲得BYACToken用來返還閃電貸。我們認為這個模式同基于閃電貸的價格操縱攻擊非常類似。

香港財政司長：香港正在探索虛擬資產試點項目:金色財經報道，在今日舉辦的2022年香港金融科技周上，香港財政司長陳茂波以視頻形式出席科技周時指出，香港正探索一些試點項目，借以測試虛擬資產及其于金融市場的應用所帶來的效益，項目涉及NFT（非同質化代幣）、債券代幣化及數碼港元。[2022/10/31 12:01:15]

接下來，我們使用一個攻擊交易(https://versatile.blocksecteam.com/tx/eth/0xeb8c3bebed11e2e4fcd30cbfc2fb3c55c4ca166003c7f7d319e78eaab9747098)來簡述整個過程。

印度加密公司反對RBI關于CBDC的概念說明:金色財經報道，一位印度加密公司的高管表示，印度儲備銀行（RBI）用央行數字貨幣（CBDC）取代數字資產的目標是“將蘋果和橘子進行比較” 。這位高管說：“CBDC是另一種比特幣（BTC）嗎？中央銀行正在將蘋果與橙子進行比較。加密貨幣是代幣。CBDC是一種數字貨幣。我們在比較股票與印度盧比？我沒有意識到CBDC的唯一目標是取代虛擬數字資產。”

此前消息，印度儲備銀行發布了一份50頁的概念說明，用于在該國引入CBDC。（Finbold）[2022/10/10 12:51:35]

StepI:攻擊準備

Gemini質押服務將面向澳大利亞、巴西等30多個國家的用戶開放:據官方消息，Gemini宣布其質押服務將面向包括澳大利亞、巴西在內的30多個國家或地區的用戶開放。

據悉，此前該業務僅向美國（不包括紐約）、香港、新加坡開放。[2022/9/10 13:20:35]

攻擊者購買了編號1060的BYACNFT并且轉移給攻擊合約。這個NFT是攻擊者花了106ETH在公開市場購買的。

持有至少100枚ETH的地址數量達16個月高點:金色財經消息，Glassnode數據顯示，持有至少100枚ETH的地址數量為45496個，達16個月高點。[2022/8/14 12:24:26]

StepII:借入閃電貸并且redeem成BYACNFT

攻擊者通過閃電貸借入大量的BYACToken。在這個過程中，攻擊者通過redeemBYACtoken獲得了5個BYACNFT。

StepIII:通過BYACNFT領取空投獎勵

在這個過程中，攻擊者使用了6個NFT來領取空投。1060是其購買，其余5個是在上一步獲得。通過空投，攻擊者共計獲得60,564APEtokens獎勵。

StepIV:mintBYACNFT獲得BYACToken

攻擊者需要歸還借出的BYACToken。因此它將獲得BYACNFTmint獲得BYACToken。這個過程中，他還將其自己的編號為1060NFT也進行了mint。這是因為需要額外的BYACToken來支付閃電貸的手續費。然后將還完手續費后的BYACToken賣出獲得14ETH。

獲利

攻擊者獲得60,564APEtoken,價值50W美金。其攻擊成本為1060NFT減去售賣BYACToken得到的14ETH。

Lessons

我們認為問題根源在于APE的空投只考慮瞬時狀態。而這個假定是非常脆弱的，很容易被攻擊者操控。如果攻擊者操控狀態的成本小于獲得的APE空投的獎勵，那么就會創造一個實際的攻擊機會。

Tags：YACNFTTOKEKENYAC幣Fyooz NFT最新imtoken下載網址imtoken下載官網app

萊特幣