USD:welnance.finance 事件分析_usdt幣提現到銀行卡會凍結嗎

前言

11月13日，知道創宇區塊鏈安全實驗室?監測到BSC上的DeFi協議welnance.finance遭遇閃電貸價格操控攻擊。實驗室第一時間對本次事件深入跟蹤并進行分析。

事件分析

流程

1.攻擊者從WBNB-BUSD閃電貸1,000,000BUSD

2.在pancakeSwap的USD-WEL交易對中用1,000,000BUSD換取169,882WEL

風語筑與螞蟻集團旗下鯨探平臺簽約:金色財經報道，風語筑與螞蟻集團旗下的鯨探數字藏品平臺進行簽約合作。此次合作，雙方將憑借各自在數字科技應用領域的沉淀以及在元宇宙領域的先發優勢，結合數字藏品的設計、建模、展示與交互，在虛擬展館及VR/AR交互等領域開展業務布局、研發投入和實踐落地。雙方將圍繞鯨探平臺元宇宙空間「鯨探展館」，在3D虛擬建筑的建設、業務協同與商業化應用等方面展開深度合作，推動傳統文化IP、非遺、城市記憶與數字藏品行業融合發展，踐行國家文化數字化戰略。(金十)[2023/1/10 11:04:11]

3.發送80枚WEL到wlWEL，獲取到4,056wlWEL

Move to Earn創企Fitmint完成160萬美元種子輪融資，General Catalyst領投:6月29日消息，總部位于班加羅爾的“Move to Earn”Web3初創公司Fitmint宣布完成160萬美元種子輪融資，General Catalyst領投，iSeed、Kearny Jackson、Dweb3、1947 Rise等參投。新融資將用于招聘及團隊擴張、營銷和優化技術基礎設施。

Fitmint聯合創始人兼首席執行官Rohit Sharma透露，該公司已經開始創收，其目標是在本財年末（即2022-23財年）之前產生1200-1500萬美元收入。（BW Disrupt）[2022/6/29 1:39:17]

4.分別從wlUSDT借8,651BUSD、wlBTC借0.06BTC、wlETH借0.7ETH

期權協議Lyra升級版本Avalon上線Optimism:6月29日消息，期權協議Lyra在其官網宣布升級版本Avalon上線Optimism。Avalon的四個主要升級包括LP隨時進入/退出Lyra做市商保險庫、支持3個月到期的期權交易、引入了部分抵押期權銷售、無論delta或到期時間如何只需支付少量的平倉費即可平倉。Lyra Avalon保留了V1中雙邊期權市場、統一流動性、可組合delta對沖等功能。

此外，結合新功能Lyra推出了重新設計的交易界面，dApp中有一個新的“投資組合”頁面，顯示交易者的頭寸和利潤，除了桌面支持外還推出移動優先體驗。Avalon合約通過Halborn、Sherlock（即將通過）和Iosiro的審計。[2022/6/29 1:38:23]

5.將剩余的169,802WEL兌換成999,893BUSD，并歸還第一步的閃電貸

6.將借貸獲取的5,994BUSD、0.7ETH、0.06BTC轉入攻擊者地址

原理分析

通過分析，用戶在wlXXX池借貸時首先會調用?comptroller?的?borrowAllowed?方法判斷借貸條件是否成立。

然后調用?comptroller?的?enterMarkets?注入wlWEL資產作為質押品進comptroller中。

在?comptroller?的?borrowAllowed?方法中，getHypotheticalAccountLiquidityInternal?方法會計算當前用戶的總持倉資產價值是否大于總借貸價值

由于第2步使用巨量BUSD兌換WEL操作，導致WEL價格直線飆升，進而導致第3步的wlWEL價值飆升，攻擊合約以此分別向wlBTC,wlETH，wlUSDT借款，最后賣出閃電貸部分獲得的WEL，歸還BUSD閃電貸離場。

總結

這次閃電貸攻擊的核心原因在于對抵押物價值的計算易被操控，使得攻擊者通過閃電貸的巨額資金抬高了抵押物的價格，而超額借出了Welnance的wlBTC,wlETH，wlUSDT金庫的資產。

此前通過閃電貸操縱價格的攻擊事件頻發。知道創宇區塊鏈安全實驗室?在此提醒，任何有關資金問題的操作都需要慎重考慮，合約審計、風控措施、應急計劃等都有必要切實落實。

來源：金色財經

Tags：USDBUSDETHBTCusdt幣提現到銀行卡會凍結嗎EarnBUSDethereumpandaiBTC (Synthetix)

DOT