事件概览
北京时间6月25日，链必安-区块链安全态势感知平台舆情监测显示，基于币安智能链的链上DeFi协议xWinFinance遭到“闪电贷攻击”。据统计，xWinFinance代币24小时跌幅达近90%。
成都链安·安全团队第一时间介入分析，针对xWinFinance被黑事件启动安全应急响应。经由分析，xWinFinance被黑事件颇具“代表性”及“典型性”，有必要针对攻击流程进行披露，以起警示作用。攻击者通过“闪电贷”套出原始资金，并重复攻击步骤，最终完成获利，成功“薅羊毛”。
Beosin：BSC链上的gala.games项目遭受攻击事件简析:金色财经报道，根据区块链安全审计公司Beosin旗下Beosin EagleEye 安全风险监控、预警与阻断平台监测显示，BSC链上的gala.games项目遭受攻击，Beosin分析发现由于pNetwork项目的bridge配置错误导致pTokens（GALA） 代币增发，累计增发55,628,400,000枚pTokens（GALA），攻击者已经把部分pTokens(GALA) 兑换成12,976个BNB，攻击者（0x6891A233Bca9E72A078bCB71ba02aD482A44e8C1）累计获利约434万美元。Beosin Trace追踪发现被盗金额还存在攻击者地址中。
第一笔攻击交易：0x4b239b0a92b8375ca293e0fde9386cbe6bbeb2f04bc23e7c80147308b9515c2e
第二笔攻击交易：0x439aa6f526184291a0d3bd3d52fccd459ec3ea0a8c1d5bf001888ef670fe616d[2022/11/4 12:17:00]
事件分析
NFT市场Babylons与BSC上P2E游戏Monsters Clan合作推出独家NFT:10月21日消息，NFT市场Babylons宣布与BSC上的P2E游戏Monsters Clan合作推出独家NFT，该活动将于10月21日开始，用户将获得包括土地、实验室、洞穴、怪物、药水、饲料、币盒等在内的大量游戏道具的一次性独家访问权，这些道具将于2021年11月15日作为可玩和可转让的NFT空投到游戏中。（CoinQuora）[2021/10/21 20:46:20]
首先，攻击者利用“推荐人将获得奖励”的特殊机制，利用“闪电贷”多次添加和移除流动性，从而获得了巨量奖励，以进行获利。
pNetwork攻击事后分析报告：黑客尝试对多个pToken桥进行攻击，仅对pBTC-on-BSC攻击成功:9月22日消息，跨链协议pNetwork针对此前攻击事件致277枚BTC被盗发布分析报告称，pNetwork系统遭到黑客攻击，该黑客对多个pToken网桥进行了攻击，包括pBTC-on-BSC、TLOS-on-BSC、PNT-on-BSC、pBTC-on-ETH、TLOS-on-ETH和pSAFEMOON-on-ETH，不过，黑客仅在pBTC-on-BSC跨链桥上攻击成功，并从pBTC-on-BSC抵押品中窃取了277枚BTC，其他pToken网桥不受影响且资金安全。另外，由于已将黑客地址报告给交易所，所以被盗资金当前仍然在黑客BTC地址上，未发生过转移。
pNetwork目前正在为受此次攻击影响的用户制定一种赔偿方案，还将为白帽引入漏洞赏金计划。pNetwork表示，在重新启动跨链桥之前，正在针对所有跨链桥详细审查类似的潜在漏洞，当前已重启pBTC-on-EOS、pBTC-on-Telos、pLTC-on-EOS、pUOS-on-Ultra跨链桥。[2021/9/22 16:56:55]
下图是攻击流程的一个循环：
1.?攻击者首先利用闪电贷借来的巨量BNB并调用Subscribe，从而获得了LP以及多余的XWIN；
2.?攻击者移除流动性，并兑换多余的XWIN进行回本；
3.?反复上述操作，不断积累奖励的XWIN；
4.最终，攻击者取出积累的XWIN奖励，全部兑换成BNB，离场。
事件复盘
看到这里，不难发现，此次xWinFinance被黑事件攻击手法并不复杂；与其说此次事件是一次“黑客攻击”，其实更像是一次“黑客薅羊毛”。
攻击者利用了xWin?Finance的“奖励机制”，不断添加移除流动性，进而获取奖励。在正常情况下，由于用户的添加量不大，因此获取的收益可能会很小，甚至不足以支付手续费；但在巨量资金面前，奖励就会变得异常高了。
因此，成都链安·安全团队建议，项目方在日常的安全防护工作之中，除了要搭建起一整套健全的防范机制和风控系统以外，也应当注意核查项目自身的推广手段和奖励机制是否会存在一定漏洞，以防攻击者借机开展攻击，造成巨额损失
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。