AUTO:“閃電貸攻擊”再現 ApeRocket Finance被黑事件簡析

一、事件概覽

北京時間7月14日，鏈必安-區塊鏈安全態勢感知平臺輿情監測顯示，BSC生態DeFi收益耕種聚合器ApeRocketFinance遭遇“閃電貸攻擊”。據相關消息指出，此次攻擊事件中，攻擊者針對的是ApeRocket其下Apeswap的SPACE-BNB池，其項目代幣SPACE已下跌逾75%。

成都鏈安·安全團隊近期已披露多起BSC生態“閃電貸”攻擊事件，在ApeRocketFinance被黑事件中，攻擊者依然利用了“閃電貸”的攻擊原理，“換湯不換藥”，通過操縱項目合約的“質押收益”和“獎勵機制”從而進行獲利。值得注意的是，ApeRocketFinance是本月首起較為典型的安全攻擊事件，在此提醒各項目方做好日常安全審計和安全防護工作。

Trust Wallet：Webverse聯創被盜竊400萬美元加密資產是源于社會工程攻擊:金色財經報道，多鏈非托管錢包 Trust Wallet 發推表示，此前 Web3 元宇宙游戲引擎 Webverse 聯合創始人表示未泄露助記詞，僅因被拍照即被盜竊價值 400 萬美元的加密盜竊。經調查，Trust Wallet 認為這是一次社會工程攻擊引發的安全事件，涉及來自意大利羅馬的有組織犯罪小組，已知案件地點在米蘭和巴塞羅那。

該案例中，用戶資金最初是在一個多簽錢包中，在他們與犯罪分子見面辦理業務的前幾周，用戶被犯罪分子說服將資金轉移到一個新的非多簽錢包中，隨后犯罪分子分享了一份 NDA PDF 文件和 KYC 信息。而用戶向犯罪分子展示資金證明并拍照后，新錢包就被掏空，所以才有了最初通過照片竊取資金的說法。[2023/2/9 11:56:27]

MetaVersusWorld完成200萬美元種子輪融資:12月13日消息，Web3元宇宙初創公司MetaVersusWorld宣布完成200萬美元種子輪融資，Alphabit Digital Currency Fund、Xeta Capital、Launchpool、Westridge Markets、NetZero Capital、XSquared Ventures、GBIC、Alpha Sigma Capital和FBG Capital等參投。

據悉，MetaVersusWorld開發超現實且支持互動的虛擬多元宇宙，主要提供元宇宙商務、游戲和Web3 IP市場拓展等服務，該公司將利用這筆資金開發其alpha產品“Unreal Engine 5”，同時還在尋求額外300萬美元融資。[2022/12/13 21:40:30]

二、事件分析

數據：14,000枚ETH從Gemini轉移到未知錢包:金色財經報道，WhaleAlert數據顯示，14,000枚ETH（17,985,245 美元）從Gemini轉移到未知錢包。[2022/9/22 7:14:31]

攻擊過程分析

1.?攻擊者首先利用了“閃電貸”，借取了1259459+355600個cake。

2.?隨后，將其中的509143個cake抵押至AutoCake。

印尼央行行長稱該國正在積極探索加密資產:7月12日消息，印度尼西亞銀行 (BI) 行長Doni Primanto Joewono在巴厘島巴東舉行的G20數字經濟會外活動中表示，需要一個監管框架來克服與加密資產相關的穩定性問題。他認為加密貨幣具有發展包容性和提高金融系統效率的潛力。加密資產已促使許多國家的中央銀行探索設計和發行中央銀行數字貨幣（CBDC）。Joewono稱，該國正在探索將加密貨幣納入其金融體系的可能性。 印度尼西亞銀行一直在研究CBDC，旨在發布有關數字印尼盾發展的白皮書。（Finbold）[2022/7/13 2:08:42]

3.?攻擊者將剩余的1105916個cake直接打入AutoCake合約。

4.?然后攻擊者再調用AutoCake中的harvest觸發復投，將步驟3中打入Autocake的cake進行投資。

5.?完成上述攻擊步驟后，攻擊者調用AutoCake中的getReward結算步驟2中的抵押盈利，隨即觸發獎勵機制鑄幣大量的SPACEToken進行獲利。

6.?歸還“閃電貸”，完成整個攻擊后離場。

攻擊原理分析

在此次攻擊事件中，攻擊者首先在AutoCake中抵押了大量Cake，這使得其持股占比非常之高，從而能夠分得AutoCake中幾乎全部的質押收益。

在步驟3中，攻擊者直接向AutoCake合約中打入大量cake，這部分cake因并沒有通過抵押的方式打入AutoCake合約；根據合約自身邏輯，將會被當作“獎勵”。

一來一回，直接打入AutoCake中的cake大部分最終也會結算給攻擊者。

但另一方面，在進行getReward操作時，函數會根據質押而獲得獎勵的數量來鑄幣SPACEToken發放給用戶，做為另外的獎勵。在正常情況下，質押獎勵較少，因此鑄幣的SPACEToken也會很少；但由于攻擊者上述的操作，便導致鑄出了大量的SPACEToken。

三、事件復盤

不難看出，這是一次典型的利用“閃電貸”而完成獲利的攻擊事件，其關鍵點在于AutoCake合約自身邏輯的“獎勵機制”，最終導致攻擊者鑄出了大量的SPACEToken完成獲利。同時，這也是本月首起典型的“閃電貸”攻擊事件，值得引起注意。

成都鏈安·安全團隊建議，隨著“閃電貸”在DeFi生態越來越受青睞，潛藏在暗處的攻擊者也隨時準備著利用“閃電貸”而發動攻擊。因此，DeFi生態各項目方仍然需要格外重視來自“閃電貸攻擊”的威脅，與第三方安全公司積極聯動，構建起一套完善而專業的安全防護機制。

Tags：CAKETOCAUTOUTODRYCAKE幣Infinity Protocol BSCAutobahn Networkuto幣多少錢一個

幣安下載