SHARK:慢霧分析 AutoShark 被黑：黑客利用 AutoShark 策略池機制分兩步完成攻擊_Yearn Shark Finance

鏈聞消息，慢霧區針對幣安智能鏈上DeFi項目AutoSharkFinance被黑分析稱，由于AutoShark策略池的機制，攻擊者需要事先存入一定數量的LP代幣到策略池中，為后續攻擊做準備。整個攻擊其實分成了2步，第2筆攻擊交易的具體攻擊步驟如下：1.攻擊者從Pancake的WBNB/BUSD交易對中借出大量WBNB；2.將第1步借出的全部WBNB中的一半通過Panther的SHARK/WBNB交易對兌換出大量的SHARK，同時池中WBNB的數量增多；3.將第1步和第2步的WBNB和SHARK打入到SharkMinter中，為后續攻擊做準備；4.調用AutoShark項目中的WBNB/SHARK策略池中的getReward函數，該函數會根據用戶獲利的資金從中抽出一部分手續費，作為貢獻值給用戶獎勵SHARK代幣，這部分操作在SharkMinter合約中進行操作；5.SharkMinter合約在收到用戶收益的LP手續費之后，會將LP重新拆成對應的WBNB和SHARK，重新加入到Panther的WBNB/SHARK交易池中；6.由于第3步攻擊者已經事先將對應的代幣打入到SharkMinter合約中，SharkMinter合約在移除流動性后再添加流動性的時候，使用的是SharkMinter合約本身的WBNB和SHARK余額進行添加，這部分余額包含攻擊者在第3步打入SharkMinter的余額，導致最后合約獲取的添加流動性的余額是錯誤的，也就是說SharkMinter合約誤以為攻擊者打入了巨量的手續費到合約中；7.SharkMinter合約在獲取到手續費的數量后，會通過tvlInWBNB函數計算這部分手續費的價值，然后根據手續費的價值鑄幣SHARK代幣給用戶。但是在計算LP價值的時候，使用的是PantherWBNB/SHARK池的WBNB實時數量除以LP總量來計算LP能兌換多少WBNB。但是由于在第2步中，Panther池中WBNB的數量已經非常多，導致計算出來的LP的價值非常高；8.在LP價值錯誤和手續費獲取數量錯誤的情況下，SharkMinter合約最后在計算攻擊者的貢獻的時候計算出了一個非常大的值，導致SharkMinter合約給攻擊者鑄出了大量的SHARK代幣；9.攻擊者后續通過賣出SHARK代幣來換出WBNB，償還閃電貸。然后獲利離開。9.攻擊者后續通過賣出SHARK代幣來換出WBNB，償還閃電貸。然后獲利離開。

慢霧：警惕 Honeyswap 前端被篡改導致 approvals 到惡意地址風險:據慢霧區消息，Honeyswap官方推特發文，Honeyswap 前端錯誤導致交易到惡意地址 “0xD3888a7E6D6A05c6b031F05DdAF3D3dCaB92FC5B” ，目前官網仍未刪除該惡意地址，請立即停止使用Honeyswap進行交易，到revoke.cash排查是否有approvals 交易到惡意地址，避免不必要的損失。[2022/5/10 3:03:22]

慢霧：2021年上半年共發生78起區塊鏈安全事件，總損失金額超17億美元:據慢霧區塊鏈被黑事件檔案庫統計，2021年上半年，整個區塊鏈生態共發生78起較為著名的安全事件，涉及DeFi安全50起、錢包安全2起，公鏈安全3起，交易所安全6起，其他安全相關17起，其中以太坊上27起，幣安智能鏈(BSC)上22起，Polygon上2起，火幣生態鏈(HECO)、波卡生態、EOS上各1起，總損失金額超17億美元(按事件發生時幣價計算)。

經慢霧AML對涉事資金追蹤分析發現，約60%的資金被攻擊者轉入混幣平臺，約30%的資金被轉入交易所。慢霧安全團隊在此建議，用戶應增強安全意識，提高警惕，選擇經過安全審計的可靠項目參與；項目方應不斷提升自身的安全系數，通過專業安全審計機構的審計后才上線，避免損失；各交易所應加大反洗錢監管力度，進一步打擊利用加密資產交易的洗錢等違規行為。[2021/7/1 0:20:42]

動態 | 慢霧預警：競技類游戲 WinDice 遭遇回滾攻擊:根據慢霧威脅情報系統捕獲，今天下午 2、3 點，競技類游戲 WinDice 遭遇回滾攻擊。攻擊者通過部署攻擊合約 rep******net 攻擊項目方合約 windiceadmin，共獲利 300 多枚 EOS，目前攻擊者數個關聯賬號已列入慢霧 BTI 系統黑名單庫，慢霧安全團隊提醒類似項目方全方面做好合約安全審計并加強風控策略。[2019/2/4]

Tags：ARKSHASHARKBNBYearn Shark FinanceSHAK價格bnb是什么牌子喇叭

萊特幣