xWin Finance被黑事件分析概覽_NAN:NCE

一、事件概覽北京時間6月25日，鏈必安-區塊鏈安全態勢感知平臺輿情監測顯示，基于幣安智能鏈的鏈上DeFi協議xWinFinance遭到“閃電貸攻擊”。據統計，xWinFinance代幣24小時跌幅達近90%。成都鏈安·安全團隊第一時間介入分析，針對xWinFinance被黑事件啟動安全應急響應。經由分析，xWinFinance被黑事件頗具“代表性”及“典型性”，有必要針對攻擊流程進行披露，以起警示作用。攻擊者通過“閃電貸”套出原始資金，并重復攻擊步驟，最終完成獲利，成功“薅羊毛”。

Maxwell Partners宣布任命Mikkel Morch和Angus John MacCormick為戰略顧問:金色財經報道，算法交易、區塊鏈和數字資產投資公司Maxwell Partners宣布已任命 Mikkel Morch 和 Angus John MacCormick 為戰略顧問，以加強和擴大其為加密貨幣市場的投資者提供的算法交易業務。[2022/8/17 12:31:57]

Crust Maxwell預覽網將進行技術升級 2月26日10:30暫停接受存儲訂單:2月25日，Crust官方發文宣布Crust去中心存儲市場將正式開放，為保證市場啟動，Crust Maxwell預覽網將進行技術升級。Crust Maxwell預覽網將于2月26日10:30在區塊439,240處停止接受存儲訂單，而sWorker將于2月26日15:30在區塊442,240初進行A/B在線升級。升級將于2021年2月28日15:30區塊471040初完成，屆時存儲市場將全面開放。官方提醒，節點在升級期間盡量確保機器處于正常運行狀態，不要進行任何操作。[2021/2/25 17:52:37]

二、事件分析首先，攻擊者利用“推薦人將獲得獎勵”的特殊機制，利用“閃電貸”多次添加和移除流動性，從而獲得了巨量獎勵，以進行獲利。

動態 | PundiX將在8月12日的XWallet系統升級中添加Binance Chain Wallet:據AMBCrypto報道，8月11日，手機加密錢包XWallet背后的公司PundiX labs在推特發布系統升級通知。XWallet系統升級計劃于8月12日進行，將在10點30分至14點30分之間持續4個小時。建議用戶在維護期間避免通過錢包進行任何交易，如果升級需要的時間超過預期的四個小時，將提前通知社區。 預定的系統升級將為XWallet帶來某些變化，包括添加Binance Chain Wallet，以及對PundiX開放平臺上列出的Crypto Gift代幣的支持。其原生項目f(X)是去中心化互聯網的一種形式，目前在主網站上有一個部分，但即將到來的升級將f(X)卡更新為完全成熟的移動應用程序。[2019/8/12]

下圖是攻擊流程的一個循環：攻擊者首先利用閃電貸借來的巨量BNB并調用Subscribe，從而獲得了LP以及多余的XWIN；

2.攻擊者移除流動性，并兌換多余的XWIN進行回本；3.反復上述操作，不斷積累獎勵的XWIN；4.最終，攻擊者取出積累的XWIN獎勵，全部兌換成BNB，離場。

三、事件復盤看到這里，不難發現，此次xWinFinance被黑事件攻擊手法并不復雜；與其說此次事件是一次“黑客攻擊”，其實更像是一次“黑客薅羊毛”。攻擊者利用了xWinFinance的“獎勵機制”，不斷添加移除流動性，進而獲取獎勵。在正常情況下，由于用戶的添加量不大，因此獲取的收益可能會很小，甚至不足以支付手續費；但在巨量資金面前，獎勵就會變得異常高了。因此，成都鏈安·安全團隊建議，項目方在日常的安全防護工作之中，除了要搭建起一整套健全的防范機制和風控系統以外，也應當注意核查項目自身的推廣手段和獎勵機制是否會存在一定漏洞，以防攻擊者借機開展攻擊，造成巨額損失。

Tags：XWINWINNCENANXWIN價格RIGHT WINGXion FinancePterosaur Finance

屎幣