2022年9月8日，CertiKSkynet天网监测到NewFreeDAO(NFD)项目遭遇了闪电贷攻击。
漏洞在NFD项目部署的一个未经验证的奖励合约中，攻击者利用闪电贷借入NFD代币，并将其发送到攻击合约。随后攻击合约则调用未经验证的奖励合约，向攻击者发送更多的NFD代币。
攻击者在3次攻击中重复这个过程，获取了4481个WBNB，价值约125万美元。
由于攻击者大量抛售NFD代币，该代币的价格已经暴跌超过99%。
攻击步骤
BuzzFeed News披露BAYC两名创始人的真实身份:2月6日消息，BuzzFeed News披露Bored Ape Yacht Club（BAYC）两名创始人“Gargamel”和“Gordon Goner”的真实身份：32岁的作家兼编辑Greg Solano和35岁的Wylie Aronow。Greg Solano曾就读于弗吉尼亚大学，在一些文学网站上担任编辑和书评人，与一位游戏设计师合著一本关于魔兽世界的书。Wylie Aronow在2018年购买域名bitmex.guru，与Bitmex产生纷争。
BAYC另外两位联合创始人“Emperor Tomato Ketchup”和“No Sass”的真实身份仍然未知。（BuzzFeed News）[2022/2/6 9:34:09]
①攻击者部署了一个恶意合约。在同一笔交易中，它调用了以下函数，将自己添加为合约成员。
Newland 支持Mdex—HT /HPT流动性挖矿:据官方消息，Newland已支持Mdex—HT/HPT 流动性挖矿。用户在Newland平台存入指定交易对做LP即可获得流动性奖励。此前，Newland已上线Mdex的HPT/USDT聚合挖矿功能，并且Mdex也支持HPT的流动性挖矿与交易挖矿。
Newland官方表示，聚合挖矿正在不断增加新的单币、LP挖矿，为HPT添加更多的应用场景，赋能HPT价值发展。[2021/3/19 19:01:39]
②攻击者执行了三次闪电贷攻击，借助第一笔闪电贷款，借入250个WBNB，并将其交易为6,313,508个NFD代币。
Brave New Coin与加拿大交易所合作 为现金结算期权交易提供支持:数字资产数据公司Brave New Coin (BNC)与加拿大多伦多期货期权掉期交易所(tFOSE)签署了一项多年协议，为其加密期权交易提供支持。BNC将设计，计算和管理一套加密货币指数，以在tFOSE上为以现金结算的期权交易提供支持。（Cointelegraph）[2020/7/15]
③这些代币被发送到一些未经验证的合约中。
④这调用了0xe2f9d09c，输入NFD代币地址0x0000000000000000000038c63a5d3f206314107a7a9fe8cbba29d629d4f9。
⑤这触发了NFD项目部署的另一个未经验证的奖励合约0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e.0x6811e3b9()。
动态 | Nuggetnews为澳大利亚森林大火筹集近2万美元加密货币:澳洲区块链媒体 Nuggetnews 宣布为澳大利亚森林大火筹资价值 19,942 美元的加密货币，以帮助志愿消防员、紧急服务人员和澳大利亚此次大火的受害者。值得一提的是，此次筹集的加密货币捐赠包括 BTC、ETH 和 LTC，Nuggetnews 通过在 CoinJar 将其出售换成澳大利亚元 (AUD) 后，已于 1 月 13 日捐赠给澳大利亚红十字会救灾和恢复基金以及新南威尔士州农村消防和大队捐赠基金，这两个慈善机构分别获得了 9,971 美元的捐赠。（ Nuggetnews）[2020/1/14]
之后，未验证的合约实际上从奖励合约中收到了额外的525,283个NFD代币——总计6,838,792个NFD代币，这些代币被发回给了攻击合约。
⑥在上述交易中，NFD合约错误地释放了额外的525,283NFD。因此当攻击者完成攻击时，获取了总计343,323,371个NFD代币，在偿还了最初的250WBNB贷款后，获利4481WBNB，总价值约125万美元。
⑦最后攻击者通过两笔交易，将2,000WBNB换为556,556.72USDT。目前攻击者钱包仍持有2,481WBNB。
漏洞分析
本次攻击事件的漏洞位于NFD项目部署的一个未经验证的奖励合约。由于NFD合约的源代码在BSCScan上未被验证，因此还无法确定攻击者用来利用合约的确切机制。
资金去向
攻击者总共获得了4481个WBNB，并将其中的2000个换成了55.7万枚USDT，剩下的WBNB仍然在攻击者的账户中。
将2000WBNB交易为USDT的两笔交易：
https://bscscan.com/tx/0x8c035fc9c3d944b3dd4a0ea721c119240cb624e79b7625a16173ad6682410599
https://bscscan.com/tx/0xda4b4de6ecacfe9b8b60167a2010630aeec103ab51920eb2e1b94ba1fef6c95b
相关地址
攻击者账户：
https://bscscan.com/address/0x22c9736d4fc73a8fa0eb436d2ce919f5849d6fd2
攻击合约：
https://bscscan.com/address/0xa35ef9fa2f5e0527cb9fbb6f9d3a24cfed948863
未经验证的奖励合约：
https://bscscan.com/address/0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e
WBNB-USDT对：
https://bscscan.com/address/0x16b9a82891338f9ba80e2d6970fdda79d1eb0dae
USDT-NFD对：
https://bscscan.com/address/0x26c0623847637095655b2868c3182b2285bdaeaf
写在最后
攻击发生后，CertiK的推特预警账号以及官方预警系统已于第一时间发布了消息。同时，CertiK也会持续于官方公众号发布与项目预警相关的信息。
CertiK的端到端安全解决方案，从智能合约审计和KYC项目背景调查服务，到Skynet天网动态扫描系统和SkyTrace等区块链分析工具，以及漏洞赏金计划，助力每一个项目充分发挥潜力的同时为Web3.0打造用户和投资者高参与的生态系统。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。