PancakeHunny攻擊事件分析_UNN

前言

PREFACE

北京時間 10 月 20 日晚，知道創宇區塊鏈安全實驗室 監測到 BSC 鏈上的 DeFi 協議 PancakeHunny 的 WBNB/TUSD 池遭遇閃電貸攻擊，HUNNY 代幣價格閃崩。實驗室第一時間跟蹤本次事件并分析。

分析

ANALYZE

金融科技公司Bitpanda計劃推出加密衍生品:金色財經報道，奧地利金融科技公司Bitpanda正在設立一個新的加密衍生品交易平臺。這家加密公司目前正試圖為其BitpandaPro產品聘請一名交易主管，該產品迎合了經驗豐富的交易員和機構。該角色需要建立一個新的交易功能，首先專注于現貨場外交易柜臺，然后擴展到衍生產品。摩根大通前高管JoshuaBarraclough于10月下旬受聘領導BitpandaPro，他告訴TheBlock，該公司正在聘請一支由經驗豐富的機構銷售人員組成的團隊，以擴大該公司在歐洲的業務。據悉，Bitpanda在8月份由PeterThiel的ValarVentures領投的C輪融資中以41億美元的估值籌集了2.63億美元。（theblockcrypto）[2021/11/20 7:00:25]

攻擊者信息攻擊者：0x731821D13414487ea46f1b485cFB267019917689

zBunny Swap于6月3日上線PancakeSwap交易:官方消息，zBunny Swap于6月3日上線BSC幣安智能鏈，并開通zBunny/Bunny交易，同時也可在Pancake Swap交易，項目目前已通過零時科技審計。

據悉，zBunny 由$Bunny 社區發起，包含Swap、Farms、Pools、Launchpad以及代幣合約分紅機制，是一款多功能收益聚合器。[2021/6/3 23:08:46]

攻擊合約：0xa5312796DC20ADd51E41a4034bF1Ed481b708e71

Dogfood已上線PancakeSwap交易所:據官方消息，由海外狗狗愛好者社區聯合發行的NFT概念幣狗糧Dogfood（DOGF）已上線BSC鏈上的PancakeSwap交易所。據了解，代幣的10%將空投給持有DOGE、SHIB、BNB的用戶。[2021/5/12 21:50:47]

第一次攻擊tx：0x1b698231965b72f64d55c561634600b087154f71bc73fc775622a45112a94a77

VaultStrategyAlpacaRabbit：0x27d4cA4bB855e435959295ec273FA16FE8CaEa14

動態 | Bitpanda宣布推出新功能Bitpanda Swap:據bitcoinexchangeguide報道，數字貨幣交易所Bitpanda宣布推出新功能Bitpanda Swap，可以使用戶即時將一種加密貨幣換成另一種加密貨幣。[2018/11/17]

VaultStrategyAlpacaRabbit（proxy）：0xef43313e8218f25Fe63D5ae76D98182D7A4797CC

攻擊者從 Cream Finance 通過閃電貸獲得 53.25 BTC

用 53.25 BTC 從 Venus 借出 2717107 TUSD

在 PancakeSwap 上，用 TUSD 兌換 BNB，抬高 BNB 價格

使用 50 個不同的錢包地址將 38250 TUSD 存入 HUNNY TUSD Vault 合約

贖回 2842.16 TUSD，并鑄造 12020.40 HUNNY 代幣

以7.78 WBNB 的價格賣出 HUNNY 代幣

50個錢包重復26次以上步驟

細節VaultStrategyAlpacaRabbit 合約池的_harvest()函數中，資產的兌換路由為 ALPACA => WBNB => TUSD，而 WBNB/TUSD 池中流動性較低，易被操縱。

在巨額兌換后，抬高了 WBNB 對 TUSD 的價格，攻擊者調用 harvest() 函數后，Vault 合約的 TUSD 利潤劇增，隨后調用 getReward() 函數，通過30%的 performanceFee 手續費鑄造 HUNNY 代幣，只要鑄造出的 HUNNY 代幣價值超過 30% 的 performanceFee 手續費，就有利可圖。

目前，PancakeHunny 官方已采取緊急措施，暫停了 TUSD Vault 合約的鑄幣。

總結

SUMMARIZE

此次 PancakeHunny 遭遇的閃電貸攻擊的本質原因在于底層資產兌換過程的價格易被操控，未做全面考慮和防護，從而使得攻擊者通過巨額資金操縱某一交易對價格進行攻擊套利。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

實驗室官網：www.knownseclab.com

Tags：PANUNNBITANCYieldPandaCRAZYBUNNYbybit中文名叫什么Brickchain FInance

比特幣