SHA:Shark閃跌 99% Fork了Bunny的代碼還Fork了它的攻擊

這一周，遭到閃電貸攻擊的DeFi協議的幣價，就像5月的天氣--說崩就崩。在眼下，頻繁的閃電貸攻擊再次上演，一周接連幾個協議的代幣價格險些歸零，涉及到的損失金額數百上千萬，DeFi協議開發者真的在頻遭攻擊后提升對代碼安全的重視了嗎？

北京時間5月24日，PeckShield「派盾」預警顯示，Fork收益聚合器PancakeBunny的DeFi協議AutoSharkFinance遭到閃電貸攻擊，受攻擊事件的影響，Shark的價格閃崩，跌幅短時達到99%。

以太坊開發者：Shapella提款測試出現問題，但不會影響Shapella升級時間:金色財經報道，以太坊核心開發者Tim Beiko發推稱，開發者Marius Van Der Wijden發現了一個公共測試網Shapellabug，該bug在空塊（沒有交易或取款）的完全同步期間出現，其他幾個客戶端也遇到了這個問題，不過，這個問題很容易測試，可以快速修補。團隊認為這不會影響Sepolia升級的時間表，仍計劃在2月28日12:00點進行。另外，Barnabas Busa更新了最新的對Shapella進行壓力測試的提款Devnet。該Devnet有60萬驗證者，其中36萬驗證者在分叉時執行取款憑證更新。客戶端看到RAM+CPU使用率激增的情況，devops團隊將在未來幾天監控開發網絡，以查看有多少憑證更新消息被包含和丟失。該測試還揭示了Prysm<>Besu問題，其中Besu限制了它通過RPC發送的響應數量以防止DoS，但Prysm預期的響應數量高于Besu的當前限制。Besu團隊目前正在調查此事。此外，開發者還計劃進行另一次主網影子分叉，將在上面做一些Mev-Boost測試。2月10日以太坊基金會表示，Shanghai+Capella（Shapella）主網升級正在進入最后的預發布序列——公共測試網。Shapella包含許多功能，但對質押者和共識層來說最重要的是支持提款。退出的驗證者可以全額取款，而活躍驗證者余額超過32ETH的可以部分取款。另外，第一個長期存在的公共測試網Sepolia計劃于2月28日進行升級。[2023/2/17 12:12:44]

PeckShield「派盾」第一時間追蹤并分析發現，此次攻擊手法與5天前遭到閃電貸攻擊的PancakeBunny的攻擊手段相似。

NBA巨星奧尼爾將于今日發布Shaq Gives Back系列NFT:12月23日消息，NBA巨星奧尼爾將于今日發布Sha qGives Back系列NFT。此次Shaq Gives Back NFT銷售的全部收益將捐給Shaquille O'Neal基金會。除了一年一度的Shaq-a-Claus活動為全國貧困青年提供數以萬計的玩具、服裝和膳食外，該基金會致力于為社區灌輸希望并帶來變革，共同為青少年塑造更美好的未來。此外，NBA巨星沙奎爾·奧尼爾已將其推特賬戶更名為「SHAQ.ETH」。[2021/12/23 7:58:35]

據AutoSharkFinance介紹，它基于BSC鏈上交易量Top3?的去中心化交易所PantherSwap，而非PancakeSwap，這使得它幸免于PancakeBunny的攻擊。

以太坊2.0質押解決方案SharedStake在Saddle上推出vETH2-ETH池:據官方消息，以太坊2.0質押解決方案SharedStake（SGT）在自動做市商工具Saddle上推出vETH2-ETH資金池，允許用戶質押LP代幣來賺取SGT代幣。[2021/4/15 20:22:18]

用戶可在PantherSwap上做市，獲取的LP代幣憑證，可以放入AutoSharkFinance中產生復利收益。不幸的是，它沒有逃過ForkPancakeBunny?代碼帶來的同源漏洞攻擊。

PeckShield「派盾」簡述攻擊過程：

攻擊者從PancakeSwap借出10萬BNB的閃電貸，并將其中5萬BNB兌換為SHARKtoken，將剩余的5萬BNB和兌換的SHARKtoken存入PantherSwap中增加流動性，獲得對應的LPToken；調用getReward()函數，流動性大量注入，抬高了LPtoken的價值，攻擊者獲得獎勵1億SHARK的獎勵，攻擊者抽離流動性后返還借出的閃電貸，完成攻擊。隨后，攻擊者通過Nerve跨鏈橋將它們分批次轉換為ETH，PeckShield「派盾」旗下的反洗錢態勢感知系統CoinHolmes將持續監控轉移的資產動態。

在PancakeBunny遭到閃電貸攻擊后，AutoSharkFinance曾發文分析PancakeBunny的攻擊原理，并強調了他們對安全的重視度：“我們共做了4次代碼審計，其中2次正在進行中。”

同類DeFi協議被攻擊后，協議開發者有沒有真的及時檢查自己的合約是否也存在類似的漏洞？是否提升了對于協議安全的重視度？從AutoSharkFinance被攻擊的事件來看，似乎還遠遠不夠。

PeckShield「派盾」相關安全負責人表示：“從已知的漏洞下手是攻擊者在尚在發展的DeFi領域常用的覓食方法，對于DeFi協議安全的重視，不是嘴上說說而已，而是要做到吾日三省代碼：協議上線前有沒有做靜態審計？其他協議遭到攻擊后，有沒有自查代碼，檢查是否出現類似漏洞？交互的協議有沒有安全風險？”

此外，PeckShield「派盾」提示投資者，在某一DeFi協議遭到攻擊后，需加強對同類協議的關注，避免同源風險，當遭到攻擊后其幣價發生暴跌時，建議投資者不要輕易去搶反彈

Tags：SHASHARKDEFIEFICashaaStarSharks SEAEVAL DEFIRefinable

波場