ETH:兩天內遭受多次閃電貸攻擊，FEG損失共超320萬美元事件分析_FBN幣

北京時間2022年5月17日凌晨5:24:15，CertiK安全技術團隊監測到FEG在BNB鏈和以太坊上遭受了再一次閃電貸攻擊。

FEG在BNB鏈上遭受的閃電貸攻擊損失資產價值約130萬美元。隨后于7:31:29，其在以太坊上遭受的閃電貸攻擊造成了約59萬美元的損失，共計資產損失約190萬美元。而昨日凌晨4時，FEG已在以太坊和BNB鏈上遭遇了一次大規模閃電貸攻擊，導致了價值約130萬美元的資產損失。

https://etherscan.io/tx/0xc0031514e222bf2f9f1a57a4af652494f08ec6e401b6ae5b4761d3b41e266a59攻擊步驟

GameStop的NFT市場交易量在兩天內超過Coinbase NFT市場交易量:7月14日消息，美國游戲零售商GameStop新NFT市場公開測試版僅上線兩天交易量已達3167枚ETH（約合350萬美元），雖然與OpenSea相比微不足道，但其已接近Coinbase NFT市場歷史交易量的兩倍，而GameStop尚未開始提供其視為市場計劃核心產品的游戲NFT。

Dune Analytics數據顯示，Coinbase的NFT市場自推出以來交易量總計1704枚ETH，約合180萬美元。（Decrypt）[2022/7/14 2:12:29]

本文分析均基于交易層面。由于R0X合約在bscscan上未被驗證，因此并沒有攻擊邏輯的決定性證據。

數據：比特幣網絡算力在兩天內上漲42%:比特幣網絡算力在過去24小時內飆漲約30%，如果持續下去，這意味著很快就會出現一個重大的難度調整。根據Coinwarz，比特幣算力一度超過160 EH/s，目前為157.5 EH/s，在兩天內上漲42％。

此前10月下旬算力大幅下降，許多分析師將此歸因于中國礦業中心四川雨季的結束。四川省豐富而廉價的水力發電估計在雨季吸引大約80%的中國礦工。2019年12月公布的CoinShares數據估計，四川占全球挖礦活動的54%。

Quantum Economics分析師Jason Deane推測，比特幣算力的突然增加可能暗示許多中國礦工已經完成從四川的遷移，并恢復新疆和內蒙古等中國其他礦業中心的業務。（Cointelegraph）[2020/11/10 12:11:30]

①攻擊者借貸了57,790WBNB并將其中30WBNB存入fBNB。

因利率上升，bZx中鎖定的ETH在兩天內增加41.7%:金色財經報道，根據數據網站DeFi Pulse的數據，鎖定在bZx中的ETH總數在周四增加到24711，周三從17739增長到21514，增長了20％以上。 存款在兩天增加41.7％可能是由于利率上升所致。根據Codefi數據，截至3月3日，用戶通過bZx支持的Fulcrum平臺上借ETH可獲得41.9％的年利率。同時，其他平臺（如Aave和Compound）的收益率僅為0.06％和0.01％。目前該平臺的年利率已從周三的41.9％降至24.5％，但仍比Aave和Compound高出至少24個百分點。因此，鎖定在bZx上的ETH數量可能會繼續增加。[2020/3/6]

②攻擊者創建了一個新地址：0x3985aa71315a7aa4df3cb19602d61465a8850f61。

③攻擊者在未驗證的R0X合約中調用`depositInternal()`函數，將56,705fBNB存入R0X合約中。

④攻擊者創建了一個新地址0x23a5bfa77cccf71f1015fe5f97c8c9c43706fec4。

⑤攻擊者調用了15次"BUY()"函數來進一步存入R0X合約地址的fBNB。

⑥攻擊者調用`swapToSwap()`函數來批準`path`(0x23a5bfa77cccf71f1015fe5f97c8c43706fec4)使用56138fBNB。

⑦攻擊者調用了30次`SELL()`函數來提取存入的fBNB。

⑧此外，地址0x23a5bfa77cccf71f1015fe5f97c8c9c43706fec4調用`0xe6916552`方法，將批準的fBNB轉移到地址0x3985aa71315a7aa4df3cb19602d61465a8850f61。

⑨最后，攻擊者提取了所有的fBNB并償還了閃存貸款后離場，獲取了其余資產作為利潤。

昨日的攻擊類似，是由“swapToSwap()”函數中的一個漏洞造成的。

該函數在未對傳入參數進行篩查驗證的情況下，直接將用戶輸入的"path"作為受信任方，允許未經驗證的"path"參數來使用當前合約的資產。因此，通過調用"depositInternal()"和"swapToSwap()"，攻擊者可獲得使用當前合約資產的許可，從而盜取合約內的資產。

Tornadocash：

https://bscscan.com/tx/0x64b2995233677c6d21a389d58494de2f304dc13dda5a582c5177353e693f12a5

https://etherscan.io/tx/0x99fe2c5ab36ede9a6bb7da98360a7f08236755cdac066b118b840d8b9c00e307

https://etherscan.io/tx/0xc0031514e222bf2f9f1a57a4af652494f08ec6e401b6ae5b4761d3b41e266a59

https://bscscan.com/tx/0xe956da324e16cb84acec1a43445fc2adbcdeb0e5635af6e40234179857858f82

截至2022年5月17日7:31:29，被盜資金仍存儲在以太坊和BSC鏈上的攻擊者錢包中。

Tags：BNBETHFBNCOINBNB存在合法嗎Vital EthereumFBN幣ColossusCoinXT

Filecoin