北京时间2022年3月9日21:50，CertiK安全专家团队检测到FantasmFinance抵押池被恶意利用。
攻击者铸造了大量的XFTM代币，并将其交易为ETH，总损失约为1000ETH。
下文CertiK安全团队将从合约地址及攻击操作等方面为大家进行详细的解读并分析。
https://ftmscan.com/tx/0x64da8b8043b14fe93f7ab55cc56ccca2d190a59836a3f45dbb4b0a832e329cac?
https://ftmscan.com/tx/0xa84d216a1915e154d868e66080c00a665b12dab1dae2862289f5236b70ec2ad9?
数据：2095枚BTC从未知钱包转移至KuCoin:金色财经消息，Whale Alert的数据显示，2095枚BTC从未知钱包转移至KuCoin。[2022/7/15 2:15:47]
①攻击者在地址0x944b58c9b3b49487005cead0ac5d71c857749e3e部署了一个未经验证的合约。
②在第一个tx中，攻击者将Fantom代币(FTM)换成FSM代币，并在合约0x880672ab1d46d987e5d663fc7476cd8df3c9f937中调用mint()函数。
③攻击者调用collect()函数，以此铸造了超出权限更多的XFTM代币。
KuCoin CEO：未接触LUNA、3AC、Babel，不会停止用户提款:7月2日消息，KuCoin CEO JohnnyLyu在推特上针对一些市场传言称，KuCoin没有LUNA、3AC、Babel等机构相关敞口，没有“遭受重大损失”，不会停止用户提款。此外，他表示KuCoin即将发布2022年上半年审查报告，可从中了解更多KuCoin运营信息。对于故意传播未经证实信息的造谣者，KuCoin保留采取法律行动的权利。[2022/7/2 1:46:05]
④攻击者多次重复步骤②和③，造成FantasmFinance巨额损失。
在函数calcMint中，合约使用以下公式来计算铸币量：
KuCoin宣布推出1亿美元创作者基金:4月19日消息，加密货币交易平台KuCoin宣布推出1亿美元创作者基金（Creators Fund），以支持早期NFT项目。
该基金将邀请99位NFT创作者加入KuCoin新推出的NFT市场Windvane，对艺术、体育、PFP??、亚洲文化、名人和GameFi等垂直领域进行NFT开发创作。（CoinDesk）[2022/4/19 14:33:55]
_xftmOut=(_fantasmIn*_fantasmPrice*COLLATERAL_RATIO_MAX*(PRECISION-mintingFee))/PRECISION/(COLLATERAL_RATIO_MAX-collateralRatio)/PRICE_PRECISION。
DORA上线KuCoin(库币) ，开盘上涨44.4%:据KuCoin(库币)消息，KuCoin已上线 Dora Factory (DORA) 项目并支持DORA/USDT和DORA/BTC 交易对。DORA开盘价为6.09USDT，当前报价8.8USDT，上线涨幅44.4%。Dora Factory是一个可编程的DAO即服务的多链开放基础设施，专注于链上治理与开源开发者创业。KuCoin(库币)旨在发掘优质区块链项目，为来自207个国家的800万用户提供现货、杠杆、合约、Staking 、借贷等一站式服务。[2021/6/8 23:21:50]
由于小数点错误，导致_xftmOut最终的值远远大于代码的设计初衷。
写在最后
本次事件主要是由合约公式计算错误引起的。
只需通过适当的同行评审、单元测试和安全审计，这一类型的风险往往极易避免。
在加密世界里大家一提到漏洞，往往会认为漏洞必然是很复杂的，其实并非总是如此。有时一个小小的计算错误，就可以导致数百上千万美元的资产一朝蒸发。
本次事件的预警已于第一时间在CertiK项目预警推特进行了播报。
除此之外，CertiK官网https://www.certik.com/也已添加社群预警功能。大家可以随时访问查看与漏洞、黑客袭击以及RugPull相关的各种社群预警信息。
近期攻击事件高发，加密项目方及用户们应提高相关警惕并及时对合约代码进行完善和审计。
除此之外，技术团队应及时关注已发生的安全事件，并且检查自己的项目中是否存在类似问题。
参考链接：
1.?https://blocksecteam.medium.com/the-analysis-of-the-array-finance-security-incident-bcab555326c1
2.https://peckshield.medium.com/xwin-finance-incident-root-cause-analysis-71d0820e6bc1
3.https://peckshield.medium.com/pancakebunny-incident-root-cause-analysis-7099f413cc9b
4.https://www.certik.io/blog/technology/copycat-attack-balancer-why-defi-needs-change#home
5.https://www.certik.org/blog/uranium-finance-exploit-technical-analysis
6.https://www.certik.io/blog/technology/little-pains-great-gains-balancer-defi-contract-was-drained#home
7.https://www.certik.io/blog/technology/yam-finance-smart-contract-bug-analysis-future-prevention#home
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。