一個小數點造成數百萬美元蒸發，Fantasm Finance攻擊事件分析-ODAILY_CER

北京時間2022年3月9日21:50，CertiK安全專家團隊檢測到FantasmFinance抵押池被惡意利用。

攻擊者鑄造了大量的XFTM代幣，并將其交易為ETH，總損失約為1000ETH。

下文CertiK安全團隊將從合約地址及攻擊操作等方面為大家進行詳細的解讀并分析。

交易哈希

https://ftmscan.com/tx/0x64da8b8043b14fe93f7ab55cc56ccca2d190a59836a3f45dbb4b0a832e329cac

分析師：比特幣的下一個測試水平在9萬美元附近:10月22日消息，Fundstrat在周三的一份報告中寫道：“比特幣超過6.5萬美元后的初始上行目標是72500美元左右，然后是8.9萬美元，人們認為，隨著比特幣突破之前的高點，這一水平肯定觸手可及。”比特幣創下歷史新高，原因是投資者對美國ETF的預期，還有機構對加密資產的持續投資，以及“鯨魚”的購買可能。

有很多人預測今年年底比特幣將達到10萬美元，包括BitMEX首席執行官Alexander Hoptner，他在周五接受彭博電視臺采訪時提出了這個水平。Fairlead Strategies的創始人Katie Stockton周一（在BTC創新高之前）表示，BTC突破新高提供了一個積極的長期趨勢，根據可測量的移動預測，比特幣的目標價格應該是8.98萬美元。（彭博社）[2021/10/22 20:49:16]

https://ftmscan.com/tx/0xa84d216a1915e154d868e66080c00a665b12dab1dae2862289f5236b70ec2ad9

聲音 | 陳昊芝：隨著鏈游開發環境與工具完善 用戶滲透率增強 鏈游將迎來下一個春天:12月5日，在陀螺財經舉辦的2019未來商業生態鏈接大會上，Cocos 董事長陳昊芝分享到，目前區塊鏈游戲的真實用戶量、用戶留存以及長期付費數據相對不理想，其中原因有三點，分別是：1.鏈游缺乏用戶滲透率，目前全球使用數字錢包且會使用 DApp 的用戶不到3000萬，僅是2009年智能機用戶規模；2.鏈游多基于 HTML5 技術，難以支撐較復雜游戲產品開發；3.區塊鏈技術成熟度低，對于游戲道具、經濟系統、核心玩法支持有限。受這些原因制約，鏈游缺乏優質游戲所擁有的玩法、質量以及內容深度，很多鏈游只是博概率難以成為受大眾歡迎的游戲。隨著這些問題解決，鏈游也將迎來以下一個春天。[2019/12/5]

攻擊步驟

聲音 | 前美財政部長顧問：Libra還只是一個投機性的概念，即使能夠實現也不會是由臉書:金色財經報道，美國財政部部長姆努欽前顧問Craig Phillips在接受專訪時表示，我的職務只是Ripple公司的獨立董事，并不是他們公司的員工或者執行董事。由于我相信區塊鏈的未來，所以我決定加入一個創造了區塊鏈應用場景的公司Ripple。很多人正在討論著區塊鏈，但是Ripple還沒有創造出一個可行的商業模型，讓更多的人愿意使用它。對中國來說，就像我之前說過的，一個財務上穩健的數字貨幣是非常不錯的主意。這樣會在中國的國內產生一個數字貨幣。當人們希望把資金轉出或者轉入中國時，數字化的支付系統將會使這種國際化轉賬變得容易很多。這種轉變對于包括Ripple在內的很多全球區塊鏈參與者來說都是一個正面的信息。Libra現在還只是一個投機性的概念。我認為即使這個概念能夠實現，也應該會是其他公司或者實體，而不是臉書。[2019/11/13]

分析 | 加密貨幣分析師Alex Krüger：比特幣的下一個主要阻力位是9600美元:加密貨幣分析師Alex Krüger發推稱：比特幣剛剛創下新年新高。接來下的主要阻力位為：9600、10000、11500-11750、13000、15000、17400、20000、月球。[2019/6/16]

①攻擊者在地址0x944b58c9b3b49487005cead0ac5d71c857749e3e部署了一個未經驗證的合約。

②在第一個tx中，攻擊者將Fantom代幣(FTM)換成FSM代幣，并在合約0x880672ab1d46d987e5d663fc7476cd8df3c9f937中調用mint()函數。

③攻擊者調用collect()函數，以此鑄造了超出權限更多的XFTM代幣。

④攻擊者多次重復步驟②和③，造成FantasmFinance巨額損失。

漏洞分析

在函數calcMint中，合約使用以下公式來計算鑄幣量：

_xftmOut=(_fantasmIn*_fantasmPrice*COLLATERAL_RATIO_MAX*(PRECISION-mintingFee))/PRECISION/(COLLATERAL_RATIO_MAX-collateralRatio)/PRICE_PRECISION。

由于小數點錯誤，導致_xftmOut最終的值遠遠大于代碼的設計初衷。

資金去向

攻擊者可因此獲取大約1000個ETH，所有的資金均被轉移至Etherscan并被發送到tornadoproxy。

寫在最后

本次事件主要是由合約公式計算錯誤引起的。

只需通過適當的同行評審、單元測試和安全審計，這一類型的風險往往極易避免。

在加密世界里大家一提到漏洞，往往會認為漏洞必然是很復雜的，其實并非總是如此。有時一個小小的計算錯誤，就可以導致數百上千萬美元的資產一朝蒸發。

本次事件的預警已于第一時間在CertiK項目預警推特進行了播報。

除此之外，CertiK官網https://www.certik.com/也已添加社群預警功能。大家可以隨時訪問查看與漏洞、黑客襲擊以及RugPull相關的各種社群預警信息。

近期攻擊事件高發，加密項目方及用戶們應提高相關警惕并及時對合約代碼進行完善和審計。

除此之外，技術團隊應及時關注已發生的安全事件，并且檢查自己的項目中是否存在類似問題。

參考鏈接：

1.https://blocksecteam.medium.com/the-analysis-of-the-array-finance-security-incident-bcab555326c1

2.https://peckshield.medium.com/xwin-finance-incident-root-cause-analysis-71d0820e6bc1

3.https://peckshield.medium.com/pancakebunny-incident-root-cause-analysis-7099f413cc9b

4.https://www.certik.io/blog/technology/copycat-attack-balancer-why-defi-needs-change#home

5.https://www.certik.org/blog/uranium-finance-exploit-technical-analysis

6.https://www.certik.io/blog/technology/little-pains-great-gains-balancer-defi-contract-was-drained#home

7.https://www.certik.io/blog/technology/yam-finance-smart-contract-bug-analysis-future-prevention#home

Tags：CERHTTTPSCERTDSOCCERCHTT價格https://etherscan.iocertik

中幣