MOS:一文复盘Flurry Finance被攻击事件_KONGZ Vault (NFTX)

北京时间2022年2月22日下午1:46，CertiK安全专家团队检测到与FlurryFinance相关的一系列可疑活动，FlurryFinance的Vault合约受到攻击，价值约29.3万美元的资产被盗。

下文CertiK安全团队将从合约地址及攻击操作等方面为大家进行详细的解读并分析。攻击步骤

攻击者部署了一个恶意Token合约，并为Token和BUSD创建了一个PancakeSwap交易对。攻击者：https://bscscan.com/address/0x0f3c0c6277ba049b6c3f4f3e71d677b923298b35恶意Token合约：https://bscscan.com/address/0xb7a740d67c78bbb81741ea588db99fbb1c22dfb7PancakeSwap交易对：https://bscscan.com/address/0xca9596e8936aa8e902ad7ac4bb1d76fbc95e88bb攻击者从Rabbit的Bank合约中进行闪电贷，并触发了StrategyLiquidate的execute方法。execute方法将输入数据解码为LPToken地址，并进一步得到恶意Token合约地址。攻击者利用恶意Token合约中的攻击代码发起初步攻击：https://bscscan.com/address/0xbeeb9d4ca070d34c014230bafdfb2ad44a110142StrategyLiquiddate合约：https://bscscan.com/address/0x5085c49828b0b8e69bae99d96a8e0fcf0a033369

张家口市积极推进公交领域数字人民币应用:金色财经报道，为进一步加强数字人民币宣传推广，营造良好氛围，人民银行张家口市中心支行与各金融机构正在积极推进我市公交领域数字人民币应用，提升辖区试点工作示范效应。

数字人民币是由中国人民银行发行的数字形式法定货币，具有支付即结算、便捷安全的特性，是数字经济时代国家重要的金融基础设施。我市紧跟国家数字人民币发展趋势，积极探索数字人民币在公交领域的应用。[2023/9/10 13:29:19]

恶意Token合约调用FlurryRebaseUpkeep合约的performUpkeep方法，对Vault合约的相关金额进行重新统计，并更新了与之相关的RhoToken的multiplier。此处的multiplier将用于RhoToken的余额计算。对Vault合约的相关金额进行重新统计，并更新了与之相关的RhoToken的multiplier。此处的multiplier将用于RhoToken的余额计算。该更新基于与Vault合约相关的盈利策略合约里的余额。更新是在闪电贷的过程中触发的，此时的闪电贷还未结束，借出的金额也还未归还，因此Bank合约的当前余额远小于正常值。此Bank合约也是某个strategy的一部分，因而使得某strategy的余额小于正常值，进一步导致multiplier小于正常值。FlurryRebaseUpkeep合约：https://bscscan.com/address/0x10f2c0d32803c03fc5d792ad3c19e17cd72ad68b其中一个Vault的合约：https://bscscan.com/address/0xec7fa7a14887c9cac12f9a16256c50c15dada5c4

Arbitrum前首席营销官Andrew Saunders加入Hash Flow担任CMO:金色财经报道，去中心化交易协议Hash Flow官方宣布Arbitrum前首席营销官Andrew Saunders已正式加入HashFlow担任首位CMO，Andrew将领导Hashflow在全球范围内的所有营销、增长和传播工作。

Andrew在加入Arbitrum之前，在亚马逊的全球品牌营销团队工作，帮助建立了亚马逊的娱乐和文化营销实践，在那之前，他是Tastemade的全球品牌战略和营销主管，还曾担任NBCUniversal的内容创新和创意副总裁，并共同创立了Creative Artists Agency的品牌合作部门。[2023/4/26 14:28:00]

FarmApp 合约singer私钥疑似丢失，目前MMT价格已经下跌81%:金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，2023年2月12日，FarmApp 合约singer私钥疑似丢失，攻击者（0x2a45a576beecc945527a1b106c6d41d3ea52f9f7）使用singer的签名调用sowSeed函数生成42 的sowid的newSowData，并再次调用claimedSeed函数盗取了936,387枚MarsMinerToken (MMT)，最后将盗取的MMT兑换约为301枚BNB（价值约93000 USD）转入了Tornado.Cash，目前MMT价格已经下跌81%。[2023/2/12 12:01:42]

攻击者归还了闪电贷的款项并完成了初步攻击，且为进一步攻击获利做好了准备。在紧接着的交易中，攻击者以前一次交易中得到的低multiplier存入Token，将multiplier更新为更高的值，并以高multiplier提取Token。例如，在其中一笔初步攻击的交易中，multiplier被更新为4.1598e35。

BAYC、Azuki等蓝筹NFT地板价回暖:金色财经报道，1月6日，据NFTGo数据显示，BAYC、Azuki等蓝筹NFT系列地板价回暖。其中：

BAYC 系列 NFT 地板价现报 75.51 ETH，7 日涨幅 6.35%；

MAYC 系列 NFT 地板价现报 17.4 ETH，7 日涨幅 10.68%；

Azuki 系列 NFT 地板价现报 14.98 ETH，7 日涨幅 27.66%；

Doodles 系列 NFT 地板价现报 7.69 ETH，7 日涨幅 16.22%；

Pudgy Penguins 系列 NFT 地板价现报 6.84 ETH，7 日涨幅 10.58%。[2023/1/6 15:39:21]

在进一步攻击的交易中multiplier被更新为4.2530e35。

攻击实例：https://bscscan.com/tx/0x923ea05dbe63217e5d680b90a4e72d5552ade9e4c3889694888a2c0c1174d830https://bscscan.com/tx/0x646890dd8569f6a5728e637e0a5704b9ce8b5251e0c486df3c8d52005bec52df因为multiplier乘数是决定RhoToken余额的因素之一：

攻击者的RhoToken余额在交易中增加了，所以ta能够从Vault中提取更多的Token。攻击者多次重复这一过程，从Vault合同中盗走了价值29.3万美元的资产。写在最后

该次事件主要是由外部依赖性引起的。因此CertiK的安全专家建议：项目在与外部合约交互之前应对其安全性有清晰的认知，并且限制外部依赖可能对自身合约的影响。本次事件的预警已于第一时间在CertiK官方推特进行了播报。

除此之外，CertiK官网已添加社群预警功能。在官网上，大家可以随时看到与漏洞、黑客袭击以及RugPull相关的各种社群预警信息。

标签：MOSREUULTTOKENevmos币ieo价格Inverse Ethereum Volatility Index TokenKONGZ Vault (NFTX)BIX Token

以太坊交易热门资讯