在 2023 年 7 月 24 日，Palmswap 遭受了一次闪电贷攻击，导致失去了 901,455 USDT（约等于 901,000 美元）。由于项目的 PlpManager 合约存在漏洞，导致 USDP 计算错误，从而导致了此次攻击。
在 2023 年 7 月 24 日，Palmswap 遭受了一次闪电贷攻击，导致损失约 901,000 美元。攻击最初是在区块 30248637 上由外部拥有的地址（EOA）0x5cf40 尝试发起的，但由于攻击者耗尽了 gas 费用而失败。
图片：失败的交易。来源：Bscscan原始攻击者从以太坊网络的 Tornado Cash 中提取了 1 个 ETH。然后，将 1 个 ETH 兑换成 USDT 并通过跨链桥转移到币安智能链（BSC）。随后，将 USDT 兑换成 BNB 并用于创建攻击合约。然而，不幸的是，攻击者没有足够的 BNB 来覆盖这次攻击。
PeckShield：DeFi协议MerlinLabs遭到攻击，是PancakeBunny的又一同源攻击:5月26日消息，PeckShield“派盾”预警显示，DeFi收益聚合器MerlinLabs遭到攻击，此次攻击手法与5天前遭到闪电贷攻击的PancakeBunny的攻击手段相似，损失200ETH。[2021/5/26 22:46:25]
这让 EOA 0xf84ef 能够发现失败的交易，理解并复制了区块 30248638 的交易从而支付了正确数量的 gas 费用。
图片：成功交易。来源：Bscscan由此可见，原始攻击未能成功完成，是因为攻击者没有额外的 0.4 BNB 来支付交易费用。
动态 | 彭博社：跌破又一个关键支撑位后，BTC触及6个月以来低点:本周五，比特币的抛售进一步加剧，使其跌至今年5月以来的最低点。而比特币此前已经跌破了又一个关键支撑位。作为全球交易量最大的加密货币，比特币一度下跌11%，最低至6798美元，随后收复了部分失地。以太坊和莱特币等其他主流币也同步大幅下跌。自今年4月以来，比特币首次在跌破200日移动均线后未发生反弹，这是一个信号，表明交易者认为目前比特币暴跌是市场疲软的信号，而不是买入的机会。Greenspan等分析师表示，有传言称，比特币矿工在市场下跌时一直在抛售。（彭博社）[2019/11/23]
一旦 EOA 0xf84ef 成功利用漏洞，被盗资金就会被转移到了 EOA 0x0Fe74，目前仍在该地址中。
分析 | 又一POWH3D山寨合约大火 高额手续费模式存疑:据第三方大数据评级机构RatingToken分析，熊市行情低迷，特别是ETH的反弹更是软弱无力，投资机会稀缺，造成Fomo3D和POWH3D的山寨层出不穷，不过大都昙花一现。DailyDivs自9月2日上线以来交易量和交易金额稳步增长。研究人员深入研究合约代码发现DailyDivs与之前的爆款游戏最大区别在于以下几点：
1、买和卖的手续费分红高达25%，相比POWH3D的10%提高了很多；
2、使用三层推荐体系，推荐费用分配比例为5:3:2；
3、DailyDivs是个游戏平台并且公开合约代码，但是实际进行的Earn Game和Lotto Game游戏合约代码是没有公开，RatingToken团队提示玩家注意资金风险。详情见原文链接。[2018/9/4]
图像：被盗资金转移。来源：BscscanThe Palmswap 团队已经联系持有被盗资金的钱包，并试图协商赏金。然而，BSC scan 似乎错误地标记了一个错误的钱包作为 Palmswap 的攻击者：
诺贝尔经济学家席勒：比特币可能是又一次失败的货币实验:5月21日，诺贝尔经济学奖获得者、耶鲁大学教授罗伯特·希勒（Robert Shiller）在新发布的一篇博客中表示，加密货币市场的出现正在模仿历史上一些最失败的货币实验。他说尽管有人警告称这可能是一个局，但人们对加密货币市场的热情依然高涨。他说，人们必须记住，重塑货币的尝试在历史上一直都存在。然而，他补充说，尽管新的货币创新在开始时令人兴奋，但它们未能持续下去。[2018/5/22]
图片：链上消息提供赏金。来源：BscscanPalmswap 的官方 X 账户证实了其与黑客的谈判已经开始。
泰国又一家金融机构终止了涉及加密货币交易的银行账户:据曼谷邮报周一报道，泰国一家主要金融机构 - 国有的Krungthai银行（泰京银行）已经关闭了交易加密交货币的账户。该银行已成为继曼谷银行之后，泰国第二个“终止涉及在泰国数字资产交易所TDAX进行加密货币交易的账号”的银行。目前仍有两家金融机构为TDAX提供服务。[2018/2/28]
图片：Palmswap X 官方公告（来源：@Palmswaporg）攻击过程漏洞利用交易：0x62dba55054fa628845fecded658ff5b1ec1c5823f1a5e0118601aa455a30eac9
攻击者：0xf84efa8a9f7e68855cf17eaac9c2f97a9d131366
受漏洞影响的合约：0xa68f4b2c69c7f991c3237ba9b678d75368ccff8f
1.攻击者使用闪电贷借取了 3,000,000 USDT（价值 3,000,691.52 美元）。
2.通过函数 buyUSDP()，攻击者将 1,000,000 USDT 与 Vault 交换，获得了 996,769 Palm USD (USDP) 和 996,324 PALM LP (PLP)。随后，攻击者在质押 PLP 后获得了 996,324 fee PALM LP (fPLP)。
3.攻击者将剩余的 2,000,000 USDT 与 Vault 交换，得到 1,993,538 USDP，然后触发了 removeLiquidity() 函数，该函数将前一步中得到的 fPLP 与 Vault 交换，得到 1,962,472 PLP，然后进一步交换为 1,956,585 USDT（价值 1,957,036.45 美元）。由于 PlpManager 合约中 USDP 计算错误，Vault 错误地将更多的 USDT 返还给了攻击者。
图片：plpmanager.sol 源代码来源：BscScan4.在第 3 步中，1,953,430 USDP 被交换成了 1,947,570 USDT（价值 $1,948,019.41）。
5.攻击者还清了通过闪电贷借入的最初 3,000,000 USDT，之后攻击者的钱包中还剩下 $901,445。
在 2023 年，已经发生了 128 起闪电贷攻击，相比之下，我们在 2022 年只记录了 101 起。随着攻击者寻求从智能合约漏洞中获取最大利润，闪电贷攻击在黑客中变得越来越受欢迎。
在此次事件发生时，闪电贷攻击已经导致 2.55 亿美元的损失，平均每起攻击导致约为 200 万美元的损失。在 7 月的前三周，我们已经记录了 22 起闪电贷攻击，造成共计 850 万美元的损失。2023 年每个月的平均闪电贷攻击次数为 18 次。目前，7 月的闪电贷事件数量正朝着创纪录的方向发展。目前，它与 2023 年 2 月持平，该月份也有 22 起攻击事件。
图表：2023 年闪电贷攻击导致的资金损失。数据来源：CertiK
图表：2023 年各月份的闪电贷攻击次数。数据来源：CertiK结论Palmswap 的闪电贷攻击是 CertiK 在 7 月份检测到的第二大恶意闪电贷攻击，该月份总共损失了 580 万美元。该攻击在 2023 年的恶意闪电贷攻击中排名第十。尽管 2023 年的闪电贷攻击数量没有减少，今年已经发生了 127 起，而 2022 年仅有 101 起，但当前损失的资金体量显著降低。这其中可能有几个原因。首先，2022 年上半年的市场条件导致被盗的资产在美元价值上更高。其次，由于闪电贷是一个相对较新的概念，用于防御这种攻击的安全策略仍在开发中，这意味着持有大量资金的项目成为攻击目标。2023 年的闪电贷攻击数量证明了项目方需要强大的安全措施和第三方审计。
CertiK中文社区
企业专栏
阅读更多
Foresight News
金色财经 Jason.
白话区块链
金色早8点
LD Capital
-R3PO
MarsBit
深潮TechFlow
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。