AIR:經過安全審計的FSwap項目，黑客如何還能有機可乘？-ODAILY_比特幣

前言

北京時間2022年6月13日，知道創宇區塊鏈安全實驗室監測到BSC鏈上的FSwap去中心化交易所項目遭到閃電貸攻擊，導致損失1751枚BNB約39萬美元。

知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。

基礎信息

FSwap是一個去中心化交易所項目，可實現對加密資產的鏈上高效清算和資產的跨鏈交易。

攻擊者地址：0x000c84c59385b64c3ea4d48cc3fca1f08f3abcfc

OSL 獲得香港證監會牌照，可交易 BTC、ETH 和經過篩選的證券型代幣:金色財經報道，12月15日消息，OSL率先獲得香港證券及期貨監察委員會（香港證監會）頒發牌照{第1類（證券交易）和第7類（提供自動化交易服務）受規管活動}。

OSL是BC科技集團（香港交易所股票代碼：863）成員，也是領先的數字資產平臺，目前成為首家獲香港證監會發牌、已上市、具備數字資產錢包保險且由四大會計師事務所審計的數字資產交易平臺，專為機構和專業投資者服務。

平臺正式上線后，客戶可通過OSL的安全合規平臺交易高素質加密貨幣，包括比特幣（BTC）、以太坊（ETH）以及通過嚴格篩選的證券型代幣（STOs）。[2020/12/15 15:17:46]

攻擊合約：0x7437e7a923a5b467a197c6fae991f0f0ced9af57

聲音 | 說唱歌手Soulja Boy：比特幣的輝煌歲月已經過去:據Cryptoglobe消息，說唱歌手Soulja Boy近期斷言，比特幣的輝煌歲月已經過去了。他表示，投資比特幣現在更像是一場賭博：“你現在已經沒法獲得像早期比特幣投資者那樣的高回報了，因為它已成為主流，現在每個人都知道比特幣。”據此前消息，Soulja Boy曾發布音樂專輯Young Drako，該專輯包含一首名為《比特幣》的作品。[2019/1/20]

tx：0xe75e30dafd865331e6a002d50effe084c21e413c96d4550d5e09cf647686fcbe

行情 | BTC經過前期大幅上漲后陷入高位震蕩:BTC在經過前期大幅上漲后，已經陷入了高位震蕩。目前BTC價格大約在7300多美元，約合人民幣50000元左右。此前BTC一度升破7700美元，約合人民幣52000元。[2018/7/21]

FSwapPair合約：0x0d5F1226bd91b5582F6ED54DeeE739CAC49C37Db

漏洞分析

漏洞關鍵在于FSwapPair合約中的swap方法在每次交易計算手續費時會將pair合約中的儲備token當作手續費發送給feeto地址，這將會導致池子中的代幣數量減少，從而引起代幣價格上漲，攻擊者能夠從中套利。

攻擊流程

1、攻擊者使用閃電貸在BiSwap中貸款300萬枚BSC-USD代幣，并使用255萬枚BSC-USD代幣在Fswap中換取54萬余枚MC代幣;

2、隨后攻擊者在合約中反復多次貸-還閃電貸以此消耗池子中的MC代幣，使得池中中得MC代幣數量急劇減少，價格也迅速上漲；

3、攻擊者立刻在池子中置換手中的MC代幣獲取大量BSC-USD代幣；

4、攻擊者償還閃電貸，將剩余BSC-USD代幣進行swap，獲利1751枚BNB，最后自毀合約離場。

總結

本次攻擊事件核心是項目方誤將手續費收取方設定為pair合約而不是用戶本身，從而導致池子中的代幣數量能夠被消耗，發生套利風險。

建議項目方在編寫項目時應對函數中的手續費收取邏輯實現進行嚴格的審查，此處應該將手續費收取對象設置為用戶而不是pair合約。

在此提醒項目方發布項目后一定要將私鑰嚴密保管，謹防網絡釣魚。另外，近期各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：SWAP比特幣BTCAIRESWAP幣比特幣交易所app下載BTCs是不是黃了WFAIR幣

BNB