慢霧分析 AutoShark 被黑：黑客利用 AutoShark 策略池機制分兩步完成攻擊_SHARK

鏈聞消息，慢霧區針對幣安智能鏈上DeFi項目AutoSharkFinance被黑分析稱，由于AutoShark策略池的機制，攻擊者需要事先存入一定數量的LP代幣到策略池中，為后續攻擊做準備。整個攻擊其實分成了2步，第2筆攻擊交易的具體攻擊步驟如下：1.攻擊者從Pancake的WBNB/BUSD交易對中借出大量WBNB；2.將第1步借出的全部WBNB中的一半通過Panther的SHARK/WBNB交易對兌換出大量的SHARK，同時池中WBNB的數量增多；3.將第1步和第2步的WBNB和SHARK打入到SharkMinter中，為后續攻擊做準備；4.調用AutoShark項目中的WBNB/SHARK策略池中的getReward函數，該函數會根據用戶獲利的資金從中抽出一部分手續費，作為貢獻值給用戶獎勵SHARK代幣，這部分操作在SharkMinter合約中進行操作；5.SharkMinter合約在收到用戶收益的LP手續費之后，會將LP重新拆成對應的WBNB和SHARK，重新加入到Panther的WBNB/SHARK交易池中；6.由于第3步攻擊者已經事先將對應的代幣打入到SharkMinter合約中，SharkMinter合約在移除流動性后再添加流動性的時候，使用的是SharkMinter合約本身的WBNB和SHARK余額進行添加，這部分余額包含攻擊者在第3步打入SharkMinter的余額，導致最后合約獲取的添加流動性的余額是錯誤的，也就是說SharkMinter合約誤以為攻擊者打入了巨量的手續費到合約中；7.SharkMinter合約在獲取到手續費的數量后，會通過tvlInWBNB函數計算這部分手續費的價值，然后根據手續費的價值鑄幣SHARK代幣給用戶。但是在計算LP價值的時候，使用的是PantherWBNB/SHARK池的WBNB實時數量除以LP總量來計算LP能兌換多少WBNB。但是由于在第2步中，Panther池中WBNB的數量已經非常多，導致計算出來的LP的價值非常高；8.在LP價值錯誤和手續費獲取數量錯誤的情況下，SharkMinter合約最后在計算攻擊者的貢獻的時候計算出了一個非常大的值，導致SharkMinter合約給攻擊者鑄出了大量的SHARK代幣；9.攻擊者后續通過賣出SHARK代幣來換出WBNB，償還閃電貸。然后獲利離開。9.攻擊者后續通過賣出SHARK代幣來換出WBNB，償還閃電貸。然后獲利離開。

動態 | 慢霧：巨鯨被盜2.6億元資產，或因Blockchain.info安全體系存在缺陷:針對加密巨鯨賬戶（zhoujianfu）被盜價值2.6億元的BTC和BCH，慢霧安全團隊目前得到的推測如下：該大戶私鑰自己可以控制，他在Reddit上發了BTC簽名，已驗證是對的，且猜測是使用了一款很知名的去中心化錢包服務，而且這種去中心化錢包居然還需要SIM卡認證，也就是說有用戶系統，可以開啟基于SIM卡的短信雙因素認證，猜測可能是Blockchain.info，因為它吻合這些特征，且歷史上慢霧安全團隊就收到幾起Blockchain.info用戶被盜幣的威脅情報，Blockchain.info的安全體系做得并不足夠好。目前慢霧正在積極跟進更多細節，包括與該大戶直接聯系以及盡力提供可能需求的幫助。[2020/2/22]

動態 | 慢霧： 警惕利用EOS及EOS上Token的提幣功能惡意挖礦:近期由于EIDOS空投導致EOS主網CPU資源十分緊張，有攻擊者開始利用交易所/DApp提幣功能惡意挖礦，請交易所/DApp在處理EOS及EOS上Token的提幣時，注意檢查用戶提幣地址是否是合約賬號，建議暫時先禁止提幣到合約賬號，避免被攻擊導致平臺提幣錢包的CPU資源被惡意消耗。同時，需要注意部分交易所的EOS充值錢包地址也是合約賬號，需要設置白名單避免影響正常用戶的提幣操作。[2019/11/6]

動態 | 慢霧關于 BSV 區塊異常的進一步說明:此前慢霧安全團隊披露“昨晚 BSV 區塊連續出現多次回滾（高度 578640-578645），異常區塊的交易數超多，通過慢霧安全團隊的持續監測與分析，雖然 BSV 主網之后恢復正常且這次回滾行為和之前慢霧安全團隊披露的 ETC 51% 雙花盜幣攻擊行為不一樣，出于謹慎目的，建議對接了 BSV 的交易所暫停 BSV 充提或提高確認數。”之后，通過與 BSV 社區的溝通，BSV 社區指出這是一位開發者在主網進行的一次短時生成大量交易的壓力測試，該測試導致了本次區塊深度重組事件，這種事件不會導致雙花攻擊，不會造成交易損失。通過慢霧安全團隊的進一步分析來看，慢霧安全團隊傾向認同這種“區塊重組”說法。[2019/4/19]

Tags：SHARKARKSHABNBShark CoinBitmarkbDollar Share一個bnb幣是多少人民幣

以太坊交易