DEFI:被盗3000万美金 全面复盘BSC链上首次闪电贷攻击_MUTANT币

在DeFi的世界里，借助于智能合约，个人创建金融产品的门槛被大幅降低。人们可以根据自己的需求，自由地设计自己的金融产品，并通过组合实现方便地交易。

目前，随着DeFi协议的组合愈发丰富，涌现出大量“货币乐高”的协议，从以太坊生态中的初代去中心化交易所Uniswap，到二代进化版的Sushiswap，再到币安智能链生态中的PancakeSwap，但组合过程中的风险也逐渐凸显出来。

5月2日，DeFi协议SpartanPotocol遭到黑客攻击，PeckShield「派盾」通过追踪和分析发现，SpartanPotocol?遭到闪电贷攻击，损失3,000万美元。

斯巴达协议(SpartanProtocol)是一个资产流动性项目，旨在解决现有AMM协议以及合成资产所出现的各类问题。斯巴达协议的流动性池是此协议的核心，所有一切系统内的相关应用都离不开流动性池的支持。SpartanSwap应用了THORCHAIN的AMM算法。此算法采用流动性敏感资费来解决流动性冷启动以及滑点问题。

SushiSwap CEO：Lido社区部分用户认为Lido没有义务或权力归还被盗资金:5月22日消息，SushiSwap CEO Jared Grey 发推表示，最近 SushiSwap 攻击致使一些在 Lido 的人获得数百枚 ETH。Sushi 已经对用户进行补偿，并与其他第三方合作，归还其因攻击而获得的被盗资金。不幸的是，我们已经与 Lido 团队合作寻找解决方案来追回他们已经支付的被盗资金，但是一些人认为 Lido 没有义务或权力将这些资金退还，实质上是为向多个 Lido DAO 参与者发放被盗资金开绿灯。

具有争议性的是，Flashbots 战略总监、Lido 战略顾问 Hasu 表示支持对 Lido 归还资金不闻不问的做法。在 Sushi，我们相信在这种情况下，所有受影响的用户都应该被归还资金，试图利用 DAO 的官僚程序来混淆和阻碍这一过程是虚伪的，也是完全错误的。我们希望能与 Lido DAO 及其支持者达成友好的解决方案，以归还有关资金。[2023/5/22 15:17:41]

以下是攻击过程：首先攻击者从PancakeSwap中借出闪电贷10,000WBNB；

安全团队：NFT项目JRNY CLUB的推特账户已被盗用:6月29日消息，安全团队CertiK今日发推文称，NFT项目JRNY CLUB的推特账户@JRNYclub已被盗用，且JRNY CLUB通过Discord公告确认此事，用户请勿点击任何链接。[2022/6/29 1:38:18]

第二步，攻击者在出现漏洞的Spartan兑换池中，分五次将WBNB兑换成SPARTAN，用1,913.172376149853767216WBNB分别兑换了621,865.037751148871481851SPARTA、555,430.671213257613862228SPARTA,499,085.759047974016386321SPARTA,450,888.746328171070956525SPARTA,和409,342.991760515634291439SPARTA。此时攻击者手撰2,536,613.206101067206978364SPARTA以及11,853.332738790033677468WBNB,攻击者将这些Tokens注入流动池中提供流动性，铸造出933,350.959891510782264802代币(SPT1-WBNB);

Optimism：目前没有一个被盗用的 OP 被用于与治理相关的事情:金色财经报道，Optimism官方在社交媒体上表示，到目前为止，没有一个被盗用的 OP 被用于与治理相关的事情，如果这种情况发生变化，我们届时将参与有针对性的社区讨论，并获得更全面的事实。原则上，Optimism可以进行网络升级以停止那些尚未转让或出售的 OP 代币的移动。由于这将开创先例，我们目前不会采取这一步骤。Optimism 是一个无需许可的网络，其行为符合预期。目前，大部分有问题的OP尚未移动。Optimism 和 Wintermute 团队都在密切关注局势。受此消息影响，OP24小时下跌超11%，目前报0.86美元。

金色财经此前报道，一名黑客利用Wintermute技术失误盗取2000万个Optimism代币。[2022/6/9 4:13:19]

第三步，攻击者运用同样的手法，在出现漏洞的兑换池中分十次将WBNB兑换成SPARTAN，用1,674.025829131122046314WBNB分别兑换了336,553.226646584413691711SPARTA,316,580.407937459884368081SPARTA,298,333.47575083824346321SPARTA,281,619.23694472865873995SPARTA,266,270.782888292437349121SPARTA,252,143.313661963544185874SPARTA,239,110.715943602161587616SPARTA,227,062.743086833745362627SPARTA,215,902.679301559370989883SPARTA,和205,545.395265586231012643SPARTA，总计2,639,121.977427448690750716SPARTA。

动态 | GateHub部分被盗XRP流入Bitfinex、Digifine等交易所:本月初，钱包服务商GateHub近日被盗，共导致100个XRP分类帐钱包损失超过2300万枚XRP。近日，据Whale alert监测，这些被盗的XRP被转至不同的交易所。6月16日18:57，r4hyD开头的地址（被标记为GateHub hack 2019）向r9o9M开头地址转入400,025枚XRP。该接收地址为Bitfinex交易所地址。此外，今日凌晨3：01和3：27，rfrnAC开头的地址（被标记为Gatehub Hack 2019）向rnG2X（被标记为 Digifinex Exchange) 开头的地址转入2笔XRP，共计4万枚XRP。此外，还有多笔XRP转移至其他交易所。[2019/6/17]

第四步，攻击者将21,632.147355962694186481WBNB和所有的SPARTA，即上面三步中所获的?2,639,121.977427448690750716SPARTA转入流动池中，来抬高资产价格。

第五步，烧毁从第二步所获得的933,350.959891510782264802代币(SPT1-WBNB)，提回流动性，由于流动池处于通胀状态，共计烧毁2,538,199.153113548855179986SPARTA和20,694.059368262615067224WBNB，值得注意的是，在第二步中，攻击者仅兑换了11,853.332738790033677468WBNB，此时攻击者获利9,000WBNB；

第六步，攻击者在第四步中注入1,414,010.159908048805295494pooltoken为流动池提供流动性，随即启动烧毁机制获取2,643,882.074112804607308497SPARTA和21,555.69728926154636986WBNB。

攻击者调用了流动性份额函数calcLiquidityShare()查询当前余额，进而操纵余额套利，正确的操作需使用baseAmountPooled/tokenAmountPooled状态。

DeFi系统的运行需要由智能合约进行保证，这就要求智能合约的代码进行过缜密的审核。一旦智能合约中存在着任何漏洞，它就可能成为黑客攻击的对象。

在传统的条件下，黑客们攻击金融系统时所凭借的主要是他们在计算机技术上的优势，而在现有的DeFi生态下，由于各链、各应用之间的互通性还并不是那么好，因此跨链、跨应用之间的套利机率可能较大。这时，即使一个计算机本领不那么强的人，只要他有足够的金融知识和足够的市场嗅觉，就也可以成为黑客，对DeFi系统进行攻击。

黑客通过区块链上的闪电贷，以很小的成本借出大笔资金，然后用这笔资金去造成一些数字资产的价格波动，再从中渔利，最初兴起于以太坊，随着币安智能链等CeFiDeFi生态上的资产愈发丰富，黑客也在随时伺机待发。

PeckShield「派盾」相关负责人表示：“攻击手法仍换汤不换药，只是从一条链转到了另一条链，DeFi协议开发者应在攻击发生后，自查代码。如果对此不了解，应找专业的审计机构进行审计和研究，防患于未然。”

标签：DEFIDEFTANSpartan去中心化金融defi什么意思SDEFIMUTANT币spartanprotocol

OKB热门资讯