又現套利攻擊：Goldfinch項目的SeniorPool合約遭受攻擊事件分析_FID:USD

又現套利攻擊！—Goldfinch項目的SeniorPool合約遭受攻擊事件分析

2022-06-2816:55:30

2022年6月28日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，Goldfinch項目的SeniorPool合約遭受攻擊，攻擊者累計獲利金額為28,523個USDC，項目方累計損失541,158個USDC。成都鏈安安全團隊對此事件進行了分析，現與大家分享。

BonqDAO攻擊事件黑客已將約49.4枚ETH轉至EOA 賬戶地址 0x9ec:金色財經消息，據CertiK監測，BonqDAO攻擊事件黑客已將約49.4枚ETH轉至EOA 賬戶地址 0x9ec。目前資金已被轉換為約8.2萬枚DAI。[2023/3/14 13:03:18]

#攻擊過程

攻擊交易地址：

0xd56d801e07df9d8457973c3938f5d3e6343ec1ed11f4ebb76bc3f5cc73001707

攻擊者地址：

0x86c595d81c8ab46d893065c3c674da72555fe7c0

美國財政部：加密資產活動可能對美國金融體系的穩定性構成風險:金色財經報道，美國財政部周一警告稱，不受監管的加密貨幣可能對美國金融體系構成風險。該警告是財政部金融穩定監督委員會發布的關于數字資產的第一份主要公開報告的一部分。該委員會將穩定幣等數字或“加密”資產以及該行業交易平臺上的借貸確定為“重要的新興漏洞”。

報告得出的結論是，加密資產活動可能對美國金融體系的穩定性構成風險，并強調了適當監管的重要性，包括執行現有法律。美國財政部長珍妮特耶倫稱，政府利益相關者必須共同努力，在這些建議上取得進展。[2022/10/5 18:39:26]

攻擊者合約：

Glassnode：2021年11月以來比特幣礦工余額每月累計減少5000-8000 BTC:金色財經報道，區塊鏈分析公司Glassnode最新研究顯示，現階段比特幣礦工收入依然面臨壓力，作為對2021年11月以來美元收入普遍下降的反應，目前比特幣礦工余額出現下降和額外支出上升的現象，礦工余額每月累計減少5千枚至8千枚比特幣，這表明礦工的行為發生了明顯的變化，因為他們的余額在歷史前高的第一次回撤期間出現了約12000枚比特幣的凈積累。為了應對因 LUNA基金會出售超過8萬枚比特幣以試圖維持UST掛鉤而導致的市場崩潰，礦工們此后賣出了1萬枚比特幣，增加了市場的賣壓。[2022/6/9 4:12:27]

0x541143d5eb30563a478eea23866e203b7c38c1ca

本次攻擊存在多筆，我們選取了具體的一筆攻擊交易進行分析：

1.?第一步：攻擊者通過UniswapV3的DAI-USDC池子閃電貸借出110,000個USDC代幣。

2.?第二步攻擊者再把110,000個USDC代幣從Curve的FIDU-USDC池子兌換出106,667個FIDU代幣。

3.?第三步攻擊者利用SeniorPool合約的withdrawInFidu函數，把106,667個FIDU代幣兌換成113,853個USDC，然后歸還閃電貸110,011個USDC，剩余本次攻擊獲利的3,842個USDC。

漏洞原因為：攻擊者可以利用Curve的FIDU-USDC池子獲取FIDU代幣，來獲取SeniorPool合約抵押USDC代幣的紅利。

目前Curve中FIDU兌換USDC為1:1.03,而在SeniorPool中的比例為1:1.07，這就產生了套利空間。

圖1?Curve中FIDU兌換USDC的比例

圖2?SeniorPool合約中FIDU兌換USDC的比例

下面是具體的代碼實現：

攻擊者利用withdrawInFidu函數銷毀FIDU代幣換取USDC。而可獲取USDC的數量是通過_getUSDCAmountFromShares函數中的sharePrice去計算的。這里的sharePrice會隨著分紅的增加而增加，攻擊者就可以利用Curve的FIDU-USDC池子獲取FIDU代幣，從而獲取SeniorPool合約抵押FIDU代幣的紅利。

總結

針對本次事件，成都鏈安安全團隊建議：

項目方使用新的代幣代替FIDU代幣為憑據代幣，并確保其他途徑無法獲取該憑據代幣。此外建議項目上線前選擇專業的安全審計公司進行全面的安全審計，規避安全風險。

來源：金色財經

Tags：USDSDCUSDCFIDCUSDT價格AUSDC幣PCUSDC幣Fidex Token

Polygon