北京时间2023年7月18日，Ocean BNO遭受闪电贷攻击，攻击者已获利约50万美元。
SharkTeam对此事件第一时间进行了技术分析，并总结了安全防范手段，希望后续项目可以引以为戒，共筑区块链行业的安全防线。
攻击者地址：
0xa6566574edc60d7b2adbacedb71d5142cf2677fb
攻击合约：
0xd138b9a58d3e5f4be1cd5ec90b66310e241c13cd
超8万枚FXS(Frax Share)将于1月27日解锁，占总供应量的0.08%:1月17日消息，据 DropsTab 数据显示，83,340 枚 FXS（Frax Share）将于 1 月 27 日解锁，占总供应量的 0.08%。此外，Frax Share 将于每月 27 日解锁 83,340 枚 FXS，每次解锁量占总供应量的 0.08%。 据 OKX 行情数据显示，FXS（Frax Share）现报 9.06 美元，单日涨幅 1.84%，7 日涨幅近 65%。[2023/1/17 11:16:45]
被攻击合约：
0xdCA503449899d5649D32175a255A8835A03E4006
21Shares从金融行业招聘三名高管以扩大其在法国等多国的业务:8月17日消息，据外媒报道，欧洲加密ETP发行商21Shares周三宣布招聘三名主要员工，以扩大其在法国、德国和阿拉伯联合酋长国等国家的业务。在英国巴克莱银行拥有超15年工作经验的Marina Baudéan被任命为21Shares的法国、比利时和卢森堡新任负责人、前摩根大通执行董事Oliver Sch?fer被任命为21Shares的德国新任负责人，Al Mal Asset Management前资产管理主管Sherif El-Haddad已加入21Shares担任中东主管。（Cointelegraph）[2022/8/17 12:31:05]
攻击交易：
0x33fed54de490797b99b2fc7a159e43af57e9e6bdefc2c2d052dc814cfe0096b9
Liquid Network联盟新增CoinShares等8个成员:金色财经报道，据Blockstream侧链Liquid Network官方消息，Liquid Network联盟已新增8个成员，包括CoinShares、Condensat、INX、JST Capital、Paymium、Petrushev Capital、Sevenlabs和Satoshis Games。至此，Liquid Network联盟成员总数已达到53个，包括加密货币交易所和基础设施提供商等。[2020/8/27]
攻击流程：
（1）攻击者（0xa6566574）通过pancakeSwap闪电贷借取286449 枚BNO。
Shapeshift创始人：支持加密并不意味着应该支持每个加密项目:8月13日晚间，数字资产交易平台Shapeshift创始人兼首席执行官Erik Voorhees发推称，支持加密并不意味着应该支持每个加密项目。同理，支持DeFi并不意味着应该支持每个DeFi项目。使用自由裁量权，需要深思熟虑、追求质量，在噪音中找到信号。[2020/8/14]
（2）随后调用被攻击合约（0xdCA50344）的stakeNft函数质押两个nft。
（3）接着调用被攻击合约（0xdCA50344）的pledge函数质押277856枚BNO币。
（4）调用被攻击合约（0xdCA50344）的emergencyWithdraw函数提取回全部的BNO
（5）然后调用被攻击合约（0xdCA50344）的unstakeNft函数，取回两个质押的nft并收到额外的BNO代币。
（6）循环上述过程，持续获得额外的BNO代币
（7）最后归还闪电贷后将所有的BNO代币换成50.5W个BUSD后获利离场。
本次攻击的根本原因是：被攻击合约（0xdCA50344）中的奖励计算机制和紧急提取函数的交互逻辑出现问题，导致用户在提取本金后可以得到一笔额外的奖励代币。
合约提供emergencyWithdraw函数用于紧急提取代币，并清除了攻击者的allstake总抵押量和rewardDebt总债务量，但并没有清除攻击者的nftAddtion变量，而nftAddition变量也是通过allstake变量计算得到。
而在unstakeNft函数中仍然会计算出用户当前奖励，而在nftAddition变量没有被归零的情况下，pendingFit函数仍然会返回一个额外的BNO奖励值，导致攻击者获得额外的BNO代币。
针对本次攻击事件，我们在开发过程中应遵循以下注意事项：
（1）在进行奖励计算时，校验用户是否提取本金。
（2）项目上线前，需要向第三方专业的审计团队寻求技术帮助。
金色财经
金色荐读
Block unicorn
区块链骑士
金色财经 善欧巴
Foresight News
深潮TechFlow
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。