加密版無損「倒信用卡」獲利百萬美元，FEG閃電貸攻擊事件分析_SWAP

Author：

Time：1900/1/1 0:00:00

北京時間2022年5月16日凌晨4:22:49，CertiK安全技術團隊監測到FEG在以太坊和BNB鏈上遭受大規模閃電貸攻擊，導致了價值約130萬美元的資產損失。

此攻擊是由“swapToSwap()”函數中的一個漏洞造成的，該函數在未對傳入參數進行篩查驗證的情況下，直接將用戶輸入的"path"作為受信任方，允許未經驗證的"path"參數來使用當前合約的資產。

因此，通過反復調用"depositInternal()"和"swapToSwap()"，攻擊者可獲得無限制使用當前合約資產的許可，從而盜取合約內的所有資產。

美國紐約州州檢察長：新法案將“強制對加密公司進行獨立和公開的審計”:金色財經報道，美國紐約州州檢察長：新法案將“強制對加密公司進行獨立和公開的審計”；將要求加密公司向遭受欺詐的客戶退款，就像銀行現在所做的那樣；將阻止創建加密資產的人同時擁有加密平臺；將阻止加密公司借入或借出投資者的資產。[2023/5/5 14:45:28]

受影響的合約地址之一：https://bscscan.com/address/0x818e2013dd7d9bf4547aaabf6b617c1262578bc7

40多家區塊鏈和加密公司從美國政府獲得至少1800萬美元工資貸款:金色財經報道，美國小企業管理局（SBA）周一發布了其薪酬保護計劃（PPP）的詳細信息，區塊鏈和加密貨幣行業的40多家公司從美國政府那里獲得了至少1800萬美元的工資貸款。接受貸款的公司包括Zcash開發商Electric Coin Company、以太坊風險工作室ConsenSys和波場基金會已收購的美國實體Rainberry Inc。此外還包括加密風險投資公司Polychain Capital和Unchained Capital。據悉，該計劃由特朗普政府在新冠肺炎爆發期間創建，旨在幫助企業在持續的經濟危機中向雇員支付薪水。[2020/7/7]

https://debank.com/profile/0x73b359d5da488eb2e97990619976f2f004e9ff7c/historyhttps://bscscan.com/address/0x87b1acce6a1958e522233a737313c086551a5c76#code

行情 | 近三天加密貨幣USDT交易占比上升16.67%:目前比特幣交易情況按照交易幣種排名，排在第一的是日元，占比為45.67%，相較三天前占比下降16.43%；排在第二的是USDT，占比為38.67%，相較三天前占比上升16.67%；排在第三的是美元，占比達10.37%，相較三天前下降0.72%。[2018/7/29]

③攻擊者通過調用"depositInternal()"將fBNB存入合約FEGexPRO。

根據當前地址的余額，"_balances2"被增加。

④攻擊者調用了"swapToSwap()"，路徑參數是之前創建的合約地址。

該函數允許"path"獲取FEGexPRO合約的114fBNB。

⑤攻擊者反復調用"depositInternal()"和"swapToSwap()"，允許多個地址獲取fBNB代幣，原因如下：

每次"depositInternal()"被調用，_balance2將增加約114fBNB。

每次"swapToSwap()"被調用，攻擊者所創建合約能獲取該114fBNB的使用權限。

⑥?由于攻擊者控制了10個地址，每個地址均可從當前地址花費114個fBNB，因此攻擊者能夠盜取被攻擊合約內的所有fBNB。

⑦攻擊者重復步驟④⑤⑥，在合約內耗盡FEG代幣。

⑧最后攻擊者出售了所有耗盡的資產，并償還閃電貸款，最終獲取了其余利潤。

錢包中。

原始資金來自以太坊和BSC的Tornadocash：https://etherscan.io/tx/0x0ff1b86c9e8618a088f8818db7d09830eaec42b82974986c855b207d1771fdbe