BNB:創宇區塊鏈｜bDollar 項目遭受攻擊 價格如何能成為一把利器

北京時間 2022 年 4 月 30 日，知道創宇區塊鏈安全實驗室 監測到 BSC 鏈上的 bDollar 項目遭到價格操縱攻擊，導致損失約 73 萬美元。

知道創宇區塊鏈安全實驗室 第一時間跟蹤本次事件并分析。

攻擊者地址：0x9dadbd8c507c6acbf1c555ff270d8d6ea855178e

攻擊合約：0x6877f0d7815b0389396454c58b2118acd0abb79a

安全團隊：SNK項目遭受攻擊，黑客獲利約19萬美元:金色財經報道，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，SNK項目遭受攻擊(0x7394f2520ff4e913321dd78f67dd84483e396eb7a25cbb02e06fe875fc47013a)，黑客利用SNK的邀請獎勵機制獲利19萬美元，目前資金仍在黑客地址中0x7738B2f18d994C7c8Fa10E1FE456069624740f3e，Beosin Trace將持續對資金流向進行監控。[2023/5/10 14:54:01]

tx：0x9b16b1b3bf587db1257c06bebd810b4ae364aab42510d0d2eb560c2565bbe7b4

數據：某地址近一個月將15萬枚ENS分批轉入幣安:金色財經報道，據推特用戶余燼監測，4小時前，一個從ENS社區獎勵錢包接收了20萬枚ENS（約合265萬美元）的地址，將最后7萬枚ENS（93萬美元）轉入了幣安。

該地址2022年10月26日接收20萬枚ENS后在當天就轉出了5萬枚ENS，其中通過Uniswap出售了3000枚、向幣安轉入了4.7萬枚；另外15萬則是在最近一個月分批轉入幣安。[2023/4/11 13:56:51]

CommunityFund 合約：0xEca7fC4c554086198dEEbCaff6C90D368dC327e0

數字支付平臺 Flexa 計劃收購營銷技術公司 Drop Party:6月10日消息，數字支付公司 Flexa 計劃收購營銷技術公司 Drop Party，以通過各種在線活動與用戶進行互動。Drop Party 將負責連接粉絲和 Flexa 商家，開發忠誠度平臺，并整合包括 NFT 和即時數字支付在內的新技術。此外，Flexa 還宣布擴展了適用于多種加密貨幣和錢包的支付套件，新功能將推出支持 99 種數字貨幣的支付選項。（Coindesk）[2022/6/10 23:05:39]

漏洞關鍵在于 CommunityFund 合約中的 claimAndReinvestFromPancakePool 方法在使用 Cake 代幣進行代幣轉換時，會對換取的 WBNB 數量進行判斷并且會自動把換取的 WBNB 的一半換為 BDO 代幣；而之后合約會自動使用合約中的 WBNB 為池子添加流動性，若此時 BDO 代幣的價值被惡意抬高，這將導致項目方使用更多的 WBNB 來為池子添加流動性。

趙長鵬辟謠：陳光英（Heina）不是比捷科技的秘密所有者，法定代表人身份是迫于法規:9月1日消息，針對陳光英（Heina Chen）是幣安神秘高管并遭受大量輿論攻擊的情況，趙長鵬在幣安官方博客撰文稱，他在2010年認識了陳光英，并在2015年創建比捷科技（幣安早期實體公司原名）時邀請她加入，負責管理后臺，由于中國對外國人的限制性法律，讓中國公民作為列出的法定代表人要容易得多，因此陳光英登記為該公司法定代表人。陳光英在2017年與幣安大多數人一樣離開中國。

“由于她的名字被列在了比捷科技的早期文件中，幣安詆毀者趁機散布了一個陰謀論，即陳光英是比捷科技的秘密所有者，甚至可能是幣安的所有者。結果，她和她的家人都成為了媒體和網絡巨魔的目標和騷擾。如果我知道這會對她的生活產生多大的負面影響，我永遠不會要求她做當時看起來如此無害的一步。”[2022/9/2 13:03:16]

而最為關鍵的是，攻擊者實施攻擊前，在 WBNB/BDO、Cake/BDO、BUSD/BDO 池子中換取了大量 BDO 代幣導致 BDO 價格被抬高。

在我們對攻擊交易進行多次分析之后，發現事情并沒有那么簡單，該次攻擊極有可能是被搶跑機器人搶跑交易了，依據如下：

1、該筆攻擊交易比 BSC 鏈上普通交易 Gas 費高很多，BSC 鏈上普通交易默認 Gas 費為 5Gwei，而該筆交易竟高達 2000Gwei。

2、我們發現該攻擊合約與攻擊者地址存在多筆搶跑交；

3、我們在相同區塊內找尋到了真實攻擊者的地址與交易，該交易被回滾了。

1、攻擊者使用閃電貸貸款 670 枚 WBNB；

2、之后攻擊者將 WBNB 在各個池子中換取大量 BDO 代幣；

3、隨后攻擊者再次使用閃電貸貸款 30516 枚 Cake 代幣；

4、將貸款的 Cake 代幣進行 swap，換取 400WBNB，其中 200 枚被協議自動換取為 BDO 代幣；

5、攻擊者將 WBNB 換取 Cake 代幣用于歸還閃電貸；

6、最后，攻擊者將升值后的 3,228,234 枚 BDO 代幣換取 3020 枚WBNB，還款閃電貸 671 枚，成功套利 2381 枚 WBNB 價值約 73 萬美元。

本次攻擊事件核心是合約會為流動性池自動補充流動性，而未考慮代幣價格是否失衡的情況，從而導致項目方可能在價格高位對流動性進行補充，出現高價接盤的情況。

建議項目方在編寫項目時多加注意函數的邏輯實現，對可能遇到的多種攻擊情況進行考慮。

在此提醒項目方發布項目后一定要將私鑰嚴密保管，謹防網絡釣魚，另外，近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：BDOWBNBBNBCAKEArbDogewbnb幣是什么76bnbCake Monster

MANA