Avalanche 鏈上閃電貸攻擊事件 —— Zabu Finance 被黑分析_AVA:SPO

據慢霧區消息，2021年9月12日，Avalanche上ZabuFinance項目遭受閃電貸攻擊，慢霧安全團隊第一時間介入分析，并將分析結果分享如下。

相關信息

ZabuFinance是Avalanche上的下一代去中心化金融(DeFi)項目。ZabuFinance成熟的生態系統包括收益聚合、收益耕作、抵押、籌款。

以下是本次攻擊涉及的具體地址：

攻擊流程

1、攻擊者首先創建兩個攻擊合約，隨后通過攻擊合約1在Pangolin將WAVAX兌換成SPORE代幣，并將獲得的SPORE代幣抵押至ZABUFarm合約中，為后續獲取ZABU代幣獎勵做準備。

Reddit正在與NFL合作推出第五十七屆超級碗Avatar:2月7日消息，Reddit 宣布正在與美國國家橄欖球聯盟（NFL）合作推出第五十七屆超級碗 Avatar，將向用戶免費推出。據悉，第五十七屆超級碗（Super Bowl LVII）將于 2023 年2月12日在亞利桑那州格倫代爾的州立農場體育場舉行。[2023/2/7 11:52:50]

2、攻擊者通過攻擊合約2從Pangolin閃電貸借出SPORE代幣，隨后開始不斷的使用SPORE代幣在ZABUFarm合約中進行抵押/提現操作。由于SPORE代幣在轉賬過程中需要收取一定的手續費(SPORE合約收取)，而ZABUFarm合約實際接收到的SPORE代幣數量是小于攻擊者傳入的抵押數量的。分析中我們注意到ZABUFarm合約在用戶抵押時會直接記錄用戶傳入的抵押數量，而不是記錄合約實際收到的代幣數量，但ZABUFarm合約在用戶提現時允許用戶全部提取用戶抵押時合約記錄的抵押數量。這就導致了攻擊者在抵押時ZABUFarm合約實際接收到的SPORE代幣數量小于攻擊者在提現時ZABUFarm合約轉出給攻擊者的代幣數量。

Avalanche上借貸協議Vee.Finance V2今日啟動主網:10月7日消息，Vee.Finance V2主網將于美國東部時間10月7日上午10:00在Avalanche上啟動。除目前可用的功能外，用戶還可以在Dapp內購買或出售VEE，以及支持使用錢包中的代幣進行VEE流動性挖礦。在V2主網上線之前，Vee.Finance已經對所有合約進行了重新檢查和修改，Github Commit上有更新，且V2智能合約已經通過了慢霧安全審計。

根據路線圖，V1穩定幣板塊功能全面開放，用戶可以隨時進行借入或供應，Vee.Finance將V1穩定幣板塊的挖礦率調整為0，并將挖礦獎勵遷移至V2，穩定幣板塊的資金需在10月10日之前移動至V2池。Vee.Finance正在創建一個補償池。池內將有AVAX、WBTC、WETH、LINK和USDT五種代幣，用戶可以根據自己的份額隨時提取資金。[2021/10/7 20:10:40]

3、攻擊者正是利用了ZABUFarm合約與SPORE代幣兼容性問題導致的記賬缺陷，從而不斷通過抵押/提現操作將ZABUFarm合約中的SPORE資金消耗至一個極低的數值。而ZABUFarm合約的抵押獎勵正是通過累積的區塊獎勵除合約中抵押的SPORE代幣總量參與計算的，因此當ZABUFarm合約中的SPORE代幣總量降低到一個極低的數值時無疑會計算出一個極大的獎勵數值。

Avalanche與Aleph.im集成 為開發者和團隊提供去中心化云服務:近日，雪崩協議（Avalanche）宣布，去中心化網絡Aleph.im正在將去中心化云服務帶給基于Avalanche的開發人員和團隊，為其提供更多的控制和選擇，以滿足其數據庫需求。集成完成后（預計2021年2月4日），開發人員可以替換掉其應用程序使用的集中式數據庫和計算服務，并實現完全的去中心化。[2021/1/31 18:31:48]

4、攻擊者通過先前已在ZABUFarm中有進行抵押的攻擊合約1獲取了大量的ZABU代幣獎勵，隨后便對ZABU代幣進行了拋售。

MistTrack分析過程

去中心化服務平臺AVA收購私人資本市場平臺Investery:由康奈爾大學著名計算機學者Emin Gun Sirer創立的去中心化服務平臺AVA宣布收購了私人資本市場平臺Investery，Investery現有的合作伙伴將會移交給AVA，Investery首席執行官兼創始人John Wu和業務開發與產品副總裁Lydia Chiu也將全職加入AVA Labs。Investery成立于2019年，是一個提供全方位投資管理服務的私有資本市場平臺，可提供市場研究、資產管理和交易等服務。加入AVA Labs后，John Wu將擔任全球總裁的職務。John Wu在創立Investery之前曾創立過投資公司Sureview Capital，并曾擔任過SharesPost旗下數字資產集團的CEO。此前報道，AVA Labs曾在2019年2月完成600萬美元融資，Andreessen Horowitz、Polychain、Coinbase前CTO Balaji Srinivasan、Metastable、 Initialized和Abstract Ventures的創始人Ramtin Naimi等機構和投資人參與了該輪融資。（Finextra）[2020/2/28]

慢霧AML團隊分析統計，本次攻擊黑客獲利約60萬美元。

資金流向分析

慢霧AML旗下MistTrack反洗錢追蹤系統分析發現，以太坊上的攻擊者地址(0x9ed...f86)初始資金來自混幣平臺Tornado.Cash轉入的31ETH。

接著，將30WETH跨鏈到Avalanche。攻擊者在Avalanche上分別創建了攻擊合約1和2。接著，攻擊者通過攻擊合約1將WAVAX兌換為SPORE，并將SPORE抵押到ZABUFarm合約中。攻擊者通過攻擊合約2從Pangolin閃電貸借出SPORE代幣，隨后多次在ZABUFarm合約中進行抵押/提現操作。在獲利后，攻擊者將獲利的約45億ZABU代幣多次兌換為WAVAX代幣，再將WAVAX代幣兌換為201WETH.e。接著，攻擊者將獲利的WETH.e跨鏈到以太坊。沒有任何停歇，攻擊者直接將獲利資金通過Tornado.Cash轉出。經過以上分析，可以認為攻擊者是較為專業的，毫不含糊地直接從Tornado.Cash轉入初始資金，最后又通過Tornado.Cash順利將獲利資金轉出。

總結

此次攻擊是由于ZabuFinance的抵押模型與SPORE代幣不兼容導致的，此類問題導致的攻擊已經發生的多起，慢霧安全團隊建議：項目抵押模型在對接通縮型代幣時應記錄用戶在轉賬前后合約實際的代幣變化，而不是依賴于用戶傳入的抵押代幣數量。

慢霧AML旗下MistTrack反洗錢追蹤系統將持續監控被盜資金的轉移，拉黑攻擊者控制的所有錢包地址，提醒交易所、錢包注意加強地址監控，避免相關惡意資金流入平臺。

來源鏈接：mp.weixin.qq.com

免責聲明：作為區塊鏈信息平臺，本站所發布文章僅代表作者個人觀點，與鏈聞ChainNews立場無關。文章內的信息、意見等均僅供參考，并非作為或被視為實際投資建議。

慢霧

慢霧

慢霧科技是一家專注區塊鏈生態安全的國家高新技術企業，通過「威脅發現到威脅防御一體化因地制宜的安全解決方案」服務了全球許多頭部或知名的項目。慢霧科技的安全解決方案包括：安全審計、威脅情報、漏洞賞金、防御部署、安全顧問等服務并配套有加密貨幣反洗錢、假充值漏洞掃描、漏洞監測、被黑檔案庫、智能合約防火墻、SafeStaking等SAAS型安全產品，已有商業客戶上千家。慢霧慢霧科技慢霧AML慢霧安全Slowmist查看更多

Tags：ABUAVAANCSPOMetaBullragekava幣最新價格sunshineranchSPORE

Gate.io