又一經典的閃電貸套利 —— Wault.Finance 被黑事件分析_USD

2021年08月04日10:23AM，慢霧區情報系統捕獲到了Wault.Finance的WUSDMaster合約疑似被黑的情報，慢霧安全團隊第一時間介入分析，以下是分析的詳細內容。

事件相關方信息

攻擊者地址：0x886358f9296de461d12e791bc9ef6f5a03410c64

攻擊者合約地址A：0xaa895873a268a387e38bd841c51d2804071197a1

攻擊者合約地址B：0x50afa9383ea476bdf626d6fba62afd0b01c8fea1

被攻擊的項目：https://app.wault.finance/bsc/#wusd

被攻擊的項目地址：0xa79fe386b88fbee6e492eeb76ec48517d1ec759a(Wault.Finance的WUSDMaster合約)

事件相關方背景

攻擊者：黑客通過創建了攻擊合約地址A，并在合約的構造函數中發起攻擊。

被攻擊項目：WUSDMaster是一個質押BSC_USDT換取WUSD的合約，可以通過質押(stake)BSC_USDT來獲得WUSD，通過贖回(redeem)將WUSD燃燒，然后換成BSC_USDT，在這過程中一部分資金會轉給金庫(Treasury)，WUSDMaster會用WEX補貼給用戶。

PeckShield：DeFi協議MerlinLabs遭到攻擊，是PancakeBunny的又一同源攻擊:5月26日消息，PeckShield“派盾”預警顯示，DeFi收益聚合器MerlinLabs遭到攻擊，此次攻擊手法與5天前遭到閃電貸攻擊的PancakeBunny的攻擊手段相似，損失200ETH。[2021/5/26 22:46:25]

攻擊事件的核心點

WUSDMaster合約的stake函數中，會在質押的時候1:1兌換BSC_USDT和WUSD，但是它還進行了一次swap操作，正是因為這個swap操作導致可以被黑客利用進行套利。

核心問題點：允許數量1:1兌換BSC_USDT和WUSD的同時，WUSDMaster的swap操作會額外導致WaultSwapPair(BSC_USDT-WEX)的池子中的代幣失衡，從而形成套利空間。

注意：BSC_USDT和WUSD也可以理解為價格上也是1:1

攻擊事件的剖析

攻擊的交易Txid

0x31262f15a5b82999bf8d9d0f7e58dcb1656108e6031a2797b612216a95e1670e

攻擊的合約地址

0xaa895873a268a387e38bd841c51d2804071197a1

幣安智能鏈又一“土狗”項目Multi Financial跑路 上線1天卷走5000BNB:據幣安智能鏈投資者對吳說區塊鏈反饋，2月1日BSC上又有一“土狗”項目Multi Financial跑路，僅上線一天卷走約5000BNB。受損害的投資者表示已經報告幣安封鎖項目方地址，并向報警。近期BSC上出現多個跑路事件，popcornswap項目方卷走近48000個BNB，數日內還有三個項目（Zap Finance和Tin Finance、SharkYield）跑路，目前SharkYield跑路疑似帶走了6000個BNB。幣安方面此前表示，BSC是與以太坊一樣的公鏈，不應該為上面的項目負責，希望用戶務必謹慎投資，選擇優質的頭部項目參與。(吳說區塊鏈)[2021/2/1 18:35:56]

攻擊者地址

0x886358f9296de461d12e791bc9ef6f5a03410c64

被攻擊的項目地址

0xa79fe386b88fbee6e492eeb76ec48517d1ec759a(wault.finance的WUSDMaster合約)

我們可以把本次的過程分為3個階段：準備套利資金、構造套利空間、實施套利。

第一階段：通過閃電貸獲得初始攻擊資金

1、在WaultSwapPair(BSC_BUSD-WUSD)中通過閃電貸借了16,839,004枚WUSD；

分析 | 又一POWH3D山寨合約大火 高額手續費模式存疑:據第三方大數據評級機構RatingToken分析，熊市行情低迷，特別是ETH的反彈更是軟弱無力，投資機會稀缺，造成Fomo3D和POWH3D的山寨層出不窮，不過大都曇花一現。DailyDivs自9月2日上線以來交易量和交易金額穩步增長。研究人員深入研究合約代碼發現DailyDivs與之前的爆款游戲最大區別在于以下幾點：

1、買和賣的手續費分紅高達25%，相比POWH3D的10%提高了很多；

2、使用三層推薦體系，推薦費用分配比例為5:3:2；

3、DailyDivs是個游戲平臺并且公開合約代碼，但是實際進行的Earn Game和Lotto Game游戲合約代碼是沒有公開，RatingToken團隊提示玩家注意資金風險。詳情見原文鏈接。[2018/9/4]

2、調用WUSDMaster合約中的贖回(redeem)函數，將閃電貸借到的WUSD燃燒掉，換成BSC_USDT和WEX；

3、去PancakePair(WBNB-BSC_USDT)中通過閃電貸借了40,000,000枚BSC_USDT；

4、將借到的23,000,000枚BSC_USDT在WaultSwapPair(BSC_USDT-WEX)中換成了WEX。此時攻擊者已經做好了套利的準備。

WEX的數量：624,440,724=106,502,606517,938,118

繼蔡凱龍之后，又一券商大佬加盟火幣:此前曾有消息稱袁煜明將就職于火幣集團，就此事金色財經向火幣官方進行確認，火幣官方表示：“袁煜明已經正式加盟火幣中國，擔任火幣區塊鏈應用研究院院長，負責區塊鏈行業研究與規范制度。”據了解，袁煜明曾囊括業內幾乎所有重量級大獎，包括新財富、水晶球、保險行業最佳分析師，第一財經，湯森路透，天眼等。[2018/3/3]

WEX的來源：redeem操作WaultSwapPair(BSC_USDT-WEX)中兌換所得

第二階段：使BSC_USDT-WEX池子失衡形成套利空間

1、多次(68次)調用WUSDMaster合約中的質押(stake)函數；

2、stake函數會執行wswapRouter.swapExactTokensForTokensSupportingFeeOnTransferTokens將質押一部分的BSC_USDT換成WEX，這樣就會使得WaultSwapPair(BSC_USDT-WEX)池子的WEX數量減少，價值變高；

3、多次stake之后BSC_USDT-WEX池子中，BSC_USDT數量多，WEX數量少，形成套利空間；

4、且攻擊者每次調用stake都會以1:1的兌換方式使用BSC_USDT兌換WUSD，所以攻擊者在這一步的兌換可以無損的情況下就額外的將BSC_USDT-WEX池子打失衡了。

泰國又一交易所即將加入數字貨幣這場“戰役”中:據了解，泰國數字資產交易所大公牛網將于12月16日公測上線，該平臺共有英文、中文、泰文三個版本。雖然最近東南亞針對虛擬貨幣的監管政策信號頻出，但是其中泰國對ICO及虛擬貨幣抱有友好態度，并將監管權交給交易平臺。此次大公牛網宣布該平臺完全屬于合法平臺，也就意味著該交易平臺對其上線的項目擔負監管的使命。[2017/12/13]

第三階段：進行套利，并償還閃電貸

1、攻擊者將第一階段準備好的WEX在已經失衡的BSC_USDT-WEX池子中進行兌換，就可以換出更多的BSC_USDT；

624,440,724枚WEX=>25,930,747枚BSC_USDT

2、攻擊者將多次(68次)調用stake函數所得到的WUSD在償還閃電貸之后，剩余110,326枚WUSD通過WaultSwapPair(BSC_BUSD-WUSD)換成了BSC_BUSD；

110,326枚WUSD=>109,284枚BSC_BUSD

3、將所得到的BSC_USDT和BSC_BUSD還完閃電貸后換成了BEP_ETH。

MistTrack分析過程

慢霧AML團隊分析統計，最終攻擊者獲利370枚BEP_ETH，并通過Anyswap進行資金轉移，約損失93萬美元。

資金流向分析

慢霧AML團隊分析發現，攻擊者相關的錢包地址情況如下：

攻擊者地址：

0x886358f9296De461d12e791BC9Ef6F5a03410C64

慢霧AML旗下MistTrack反洗錢追蹤系統分析發現，攻擊者首先從Binance提幣，獲得初始資金，接著部署了合約。

通過三次操作，攻擊者將ETH兌換為anyETH，再通過跨鏈平臺將所得ETH跨鏈到以太坊地址:

0x886358f9296De461d12e791BC9Ef6F5a03410C64。

值得注意的是:

1.、跨鏈后的以太坊地址：

0x886358f9296De461d12e791BC9Ef6F5a03410C64有一筆交易轉出到了Binance。

2、攻擊者獲利地址最初的一筆交易是來自混幣平臺Tornado.Cash轉入的100ETH。

****

事件梳理(UTC)

****

-1:25:07攻擊者從TornadoCash提取100ETH

-1:27:09攻擊者充幣到幣安1ETH

-1:35:24攻擊者從幣安提現2BNB到BSC

-1:35:27攻擊者從幣安提現0.72213159Binance-PegETH到BSC

-1:43:52-1:49:05攻擊者在BSC上部署合約實施攻擊

截止目前，攻擊者獲利地址

0x886358f9296De461d12e791BC9Ef6F5a03410C64共有余額468.99ETH。

總結

本次攻擊事件是經典的利用閃電貸進行套利的案例，由于經濟模型上的設計缺陷導致的攻擊者可以對WaultSwapPair(BSC_USDT-WEX)的池子進行套利攻擊。項目方在開發之初也要關注經濟模型的設計所帶來的攻擊面，建議讓第三方專業的團隊或專家對項目在DeFi各種場景下的攻擊面進行推演，排查可能的攻擊面，從經濟模型和架構設計上對項目進行優化和加固。

慢霧安全團隊已經將攻擊者地址加入到AML系統中進行監控，并且使用了AML系統的聯動能力盡可能的對攻擊者資金進行封堵。

參考攻擊交易：

https://bscscan.com/tx/0x31262f15a5b82999bf8d9d0f7e58dcb1656108e6031a2797b612216a95e1670e

__

往期回顧

科普|加密貨幣詐騙，你中招了嗎？(下)

慢霧招募令，加入未來的安全獨角獸

梅開二度——PancakeBunny被黑分析

科普|加密貨幣詐騙，你中招了嗎？(上)

假幣的換臉戲法——技術拆解THORChain跨鏈系統“假充值”漏洞

慢霧導航

慢霧科技官網

https://www.slowmist.com/

慢霧區官網

https://slowmist.io/

慢霧GitHub

https://github.com/slowmist

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

幣乎

https://bihu.com/people/586104

知識星球

https://t.zsxq.com/Q3zNvvF

火星號

http://t.cn/AiRkv4Gz

鏈聞號

https://www.chainnews.com/u/958260692213.htm

免責聲明：作為區塊鏈信息平臺，本站所發布文章僅代表作者個人觀點，與鏈聞ChainNews立場無關。文章內的信息、意見等均僅供參考，并非作為或被視為實際投資建議。

本文來源于非小號媒體平臺：

慢霧科技

現已在非小號資訊平臺發布68篇作品，

非小號開放平臺歡迎幣圈作者入駐

入駐指南：

/apply_guide/

本文網址：

/news/10225374.html

免責聲明：

1.資訊內容不構成投資建議，投資者應獨立決策并自行承擔風險

2.本文版權歸屬原作所有，僅代表作者本人觀點，不代表非小號的觀點或立場

上一篇：

比爾·蓋茨再談ChatGPT：將改變我們的世界！

Tags：USDBSCUSDTSDTEBUSDRKTBSC幣南瓜usdt幣coinbase買的USDT不能發送

幣安交易所app下載