SEL:XSURGE閃電貸攻擊事件分析-ODAILY_NPX價格

一．事件背景

8月17日，有消息爆出BSC上DeFi協議XSURGE遭到閃電貸攻擊，被盜金額價值500萬美金。知道創宇區塊鏈安全實驗室迅速展開分析。

二．攻擊合約及交易

攻擊合約地址：

0x1514AAA4dCF56c4Aa90da6a4ed19118E6800dc46

AXS上線BW交易所 當前漲幅36.12%:據BW交易所行情顯示，AXS于11月16日17:00正式上線，并開放AXS/USDT交易對。AXS最高漲至0.65USDT，后高位震蕩，現報0.544USDT，當前漲幅36.12%。

Axie Infinity是在以太坊區塊鏈上構建的，受神奇寶貝啟發的數字寵物世界，任何人都可以通過熟練的游戲玩法和對生態系統的貢獻來獲得代幣獎勵。為了創建更好的用戶體驗并提高可伸縮性，Axie Infinity團隊正在構建名為Ronin的第2層側鏈。

BW現開啟第四期VLX 存幣獎勵以及第二期VLX邀請制存幣大獎。[2020/11/17 21:03:12]

攻擊交易鏈接：

韓國交易所Coinrail宣布被黑客攻擊，NPXS受損:6月10日，據韓國加密貨幣交易所Coinrail官方消息，系統檢測到黑客攻擊，NPXS已經受損。交易所正在調查確認是否有其它數字貨幣受損，之后公布具體細節。而NPXS官方也表示為了配合調查，NPXS交易將暫停，下午6時或重啟交易。[2018/6/10]

https://bscscan.com/tx/0x7e2a6ec08464e8e0118368cb933dc64ed9ce36445ecf9c49cacb970ea78531d2

NPXS與美國商會達成合作 提供區塊鏈技術銷售點解決方案:據CryptoDaily消息，Pundi X目前已與美國商會簽署諒解備忘錄，美國商會目前已有1800名成員，其中包括阿斯頓馬丁和麥當勞。Pundi X將為美國商會的成員提供基于區塊鏈技術的銷售點解決方案。NPXS全球均價為0.0105美元，漲幅0.84%。[2018/5/29]

三．事件復盤

分析攻擊交易，攻擊者通過閃電貸借入BNB后購買surge代幣，然后不斷賣出再買入，最后套利離場，分析代幣源代碼可以發現，這次漏洞的原因是因為合約內的sell函數導致的重入漏洞。

sell函數計算完賣出代幣所值BNB數量后，合約會把BNB發送給攻擊合約，但是如果攻擊合約此時在回退函數中又執行了purchase函數，就會導致重入的發生。

觀察此次函數調用產生的影響，由于這是在sell函數中調用的purchase，所以totaslSupply還沒有銷毀掉sell的SurgeToken，導致totalSupply高于正常值，bnbAmount和prevBNBAmount的值會因為94%的手續費問題而有所變化，但也影響不大。

也就是說攻擊者通過買入-賣出-買入的操作，以更低的代幣價格獲取到了更多的surge代幣，值得一提的是因為sell函數中nonReentrant修飾函數的影響，攻擊合約只能重復之前的操作，也說明了防重入修飾函數不能完全解決這種偽重入問題，最好的方法還是限制call函數轉賬調用，用更安全的transfer函數限制轉賬gas消耗。

四．事件總結

最近鏈上安全事件頻繁發生，這次重入漏洞又造成了重大的經濟損失，我們建議各大項目方認真審視自身代碼，做好安全保障。同時官方發文稱將會盡量彌補受害者被盜資金，如有最新進展，我們將會及時跟進。

Tags：NPXSNPXBNBSELNPXSXEM幣NPX價格BNBTCUseless Token

狗狗幣價格