北京时间6月25日，链必安-区块链安全态势感知平台（Beosin-Eagle Eye）舆情监测显示，基于币安智能链（BSC）的链上DeFi协议xWin Finance遭到“闪电贷攻击”。据统计，xWin Finance代币（XWIN）24小时跌幅达近90%。
成都链安·安全团队第一时间介入分析，针对xWin Finance被黑事件启动安全应急响应。经由分析，xWin Finance被黑事件颇具“代表性”及“典型性”，有必要针对攻击流程进行披露，以起警示作用。攻击者通过“闪电贷”套出原始资金，并重复攻击步骤，最终完成获利，成功“薅羊毛”。
BSC-WBNB-WOOF交易对通过代币后门跑路，涉及金额约11.5万美元:2月6日消息，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，BSC-WBNB-WOOF交易对被攻击，交易哈希：0xea5cf9199d23a9108d84e9204cb13795a480b34a6e4ef448245a1452f69fe781。
据Beosin安全技术人员分析，该攻击是由于WOOF代币合约的后门代码导致的，WOOF的address(jZKbvD)权限地址可以使用transferFrom函数0授权转移任何地址的WOOF代币。攻击者通过transferFrom函数转移走了BSC-WBNB-WOOF交易对内的WOOF代币，并更新池子的储备量，接着使用大量的WOOF代币兑换交易对内的所有WBNB。
目前涉及资金约11.5万美元，大部分通过攻击者地址（0x9b07f0488390a2d9c7af9ae40e0e64f31489006d）分散到其他地址。[2023/2/6 11:50:18]
首先，攻击者利用“推荐人将获得奖励”的特殊机制，利用“闪电贷”多次添加和移除流动性，从而获得了巨量奖励，以进行获利。
FTX攻击事件黑客将BSC上7420枚BNB兑换为1500枚ETH，并桥接至以太坊网络:11月15日消息，据派盾检测数据显示，FTX攻击事件黑客（链上地址被标记为FTX Accounts Drainer）将BSC上7420枚BNB（约合207万美元）兑换为1500枚ETH（约合190万美元），并桥接至以太坊网络。[2022/11/15 13:08:21]
DeFi借贷平台bZx：私钥泄露导致bZx智能合约在Polygon和BSC上的部署受影响:11月5日消息，DeFi借贷平台bZx发推表示，一个小时前，控制Polygon和BSC上bZx智能合约部署的私钥似乎已被泄露，导致资金损失。以太坊部署受DAO控制，不受影响。bZx将进行社区投票，以使用金库作为支持，使BSC和Polygon上的部署变得完整。如果用户在Polygon或BSC上批准了bZx合约的任何代币，尽快撤销批准。以太坊上的部署、治理和DAO金库均未受此事件影响。bZx智能合约本身没有受到损害。此事件仅通过泄露的密钥影响了Polygon和BSC上的部署。[2021/11/5 21:28:35]
下图是攻击流程的一个循环：
1. 攻击者首先利用闪电贷借来的巨量BNB并调用Subscribe，从而获得了LP以及多余的XWIN（将向推荐人发放XWIN奖励）；
2. 攻击者移除流动性，并兑换多余的XWIN进行回本；
3. 反复上述操作，不断积累奖励的XWIN；
4. 最终，攻击者取出积累的XWIN奖励，全部兑换成BNB，离场。
看到这里，不难发现，此次xWin Finance被黑事件攻击手法并不复杂；与其说此次事件是一次“黑客攻击”，其实更像是一次“黑客薅羊毛”。
攻击者利用了xWin Finance的“奖励机制”，不断添加移除流动性，进而获取奖励。在正常情况下，由于用户的添加量不大，因此获取的收益可能会很小，甚至不足以支付手续费；但在巨量资金面前，奖励就会变得异常高了。
因此，成都链安·安全团队建议，项目方在日常的安全防护工作之中，除了要搭建起一整套健全的防范机制和风控系统以外，也应当注意核查项目自身的推广手段和奖励机制是否会存在一定漏洞，以防攻击者借机开展攻击，造成巨额损失
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。