邏輯漏洞連環擊 攻擊者盯上了 Eleven Finance 這塊羊毛地_USD

北京時間6月23日，PeckShield「派盾」預警顯示，BSC鏈上收益聚合器ElevenFinance中與Nerve相關的機槍池遭到閃電貸攻擊。

PeckShield「派盾」通過追蹤和分析發現，此次攻擊源于ElevenFinance的Emergencyburn()計算余額錯誤，且未執行銷毀機制，攻擊者獲利近460萬美元。?

有趣的是，幾個小時后，昨天剛從ImpossibleFinance薅得近50萬美元的攻擊者，利用ElevenFinance的漏洞，通過閃電貸攻擊獲利近52萬美元。

湖南工商大學專題研究：區塊鏈將重構未來商業邏輯:近日，由湖南工商大學黨委委員、湖南電子科技職院黨委書記楊良奇教授領銜研究的專題《區塊鏈技術所引發的商業變革及其倫理挑戰》，在湖南電子科技職院舉行研究論證會議。研究認為，商業倫理視閾中區塊鏈技術具有去中心化、數據難以偽變、安全智能合約等基本特征；區塊鏈將在從外在價值到內在價值、從個人信用到機器信用、從信息傳播到價值傳遞、從契約社會到智能合約社會等方面重構未來商業邏輯。（紅網）[2020/5/31]

第一個攻擊者創建了4個合約，進行了5次攻擊。

聲音 | 區塊鏈服務實體經濟有七大基本邏輯:在“世界區塊鏈大會·烏鎮”上，工信部工業經濟研究所所長于佳寧表示，區塊鏈服務實體經濟的基本邏輯有以下幾點：1.產業協作環節信息化；2.電子信息可信化；3.數據資源資產化；4.信任傳遞”的數據資源共享機制；5.平臺機構自證清白；6.政府實現穿透式監管；7.多主體平等協作聯盟組織。[2018/6/30]

PeckShield以合約0x8b29為例簡述攻擊過程：

首先，攻擊者從PancakeSwap中借出953,869.6BUSD，并將其中340,631.2BUSD兌換474,387.75NRV；

工信部于佳寧：巴菲特的投資邏輯不適用于區塊鏈3.0時代:據金融界消息，工信部于佳寧今日在采訪中稱：“按照巴菲特的投資邏輯，比特幣確實不好，因為它和實體沒有任何關系。但巴菲特的觀點只能局限于比特幣，不能推導到所有區塊鏈項目，特別是在區塊鏈3.0時代，產業區塊鏈應用已經開始推動實體經濟實現效率變革、模式變革，特別是非常有效地提升產業的協作效率，自然具有內在投資價值。”[2018/5/31]

隨后，攻擊者將474,378.75Nerve和366,962BUSD在PancakeSwap中添加流動性，獲得411,515.3LPtoken；

攻擊者將411,515.3LPtoken放入ElevenFinance中與Nerve相關的機槍池獲得411,515.311nrvbusdLPtoken；

當攻擊者提取PancakeLPtoken時，ElevenNeverSellVault中的Emergencyburn()函數本應銷毀11nrvbusdLPtoken換回PancakeLPtoken，但Emergencyburn()并未執行burn這個動作，使得攻擊者利用此邏輯錯誤獲利。

該攻擊者又創建了0x01ea合約，借出30.9BTCB；0xc0ef合約借出285.66ETH以及0x87E9借出兩筆閃電貸2,411,889.87BUSD和7,693BUSD進行攻擊。

攻擊者通過利用集成的第三方合約功能進行攻擊，這類問題較難檢測到，例如，此前PeckShield「派盾」幫助RariCapital避免更大損失案例一樣，在定位漏洞根源時，由于合約交互容易干擾安全人員的判斷，PeckShield「派盾」建議，開發人員應謹慎與任意第三方協議進行交互。

DeFi協議開發人員在集成第三方協議并將其部署到生產運行之前，應充分了解合約及其分支項目的運行情況。DeFi協議開發人員應在項目上線前，先將其部署在測試網上進行測試并及時檢查交易記錄中的異常情況。

“太快了，攻擊者從合約部署，到完成攻擊，甚至到再次發起攻擊，這一系列操作有時候快得讓人有些反應不過來。”PeckShield「派盾」安全人員表示，“因此，事前審計，事中響應，事后提出及時有效的安全方案都是缺一不可的，誰都不知道攻擊者會不會在下一秒發起攻擊。”

Tags：區塊鏈ANCUSDBUSD區塊鏈的三個基本特征Defi.financeWCUSDEBUSD幣

幣贏交易所