NIM:慢霧分析：BSC 上的 DeFi 項目 EGD Finance 遭黑客攻擊，致其池子中資金被非預期取出_BNB

鏈捕手消息，據慢霧區分析，BSC上的DeFi項目EGDFinance項目遭受黑客攻擊，導致其池子中資金被非預期的取出。慢霧安全團隊對此進行分析：

慢霧：NimbusPlatform遭遇閃電貸攻擊，損失278枚BNB:據慢霧安全團隊情報，2022 年 12 月 14 日， BSC 鏈上的NimbusPlatform項目遭到攻擊，攻擊者獲利約278枚BNB。慢霧安全團隊以簡訊的形式分享如下：

1. 攻擊者首先在 8 天前執行了一筆交易（0x7d2d8d），把 20 枚 BNB 換成 NBU_WBNB 再換成 GNIMB 代幣，然后把 GNIMB 代幣轉入 Staking 合約作質押，為攻擊作準備；

2. 在 8 天后正式發起攻擊交易（0x42f56d3），首先通過閃電貸借出 75477 枚 BNB 并換成 NBU_WBNB，然后再用這些 NBU_WBNB 代幣將池子里的絕大部分 NIMB 代幣兌換出；

3. 接著調用 Staking 合約的 getReward 函數進行獎勵的提取，獎勵的計算是和 rate 的值正相關的，而 rate 的值則取決于池子中 NIMB 代幣和 GNIMB 代幣的價格，由于 NIMB 代幣的價格是根據上一步閃電貸中被操控的池子中的代幣數量來計算的，導致其由于閃電貸兌換出大量的代幣而變高，最后計算的獎勵也會更多；

4. 攻擊者最后將最后獲得的 GNIMB 代幣和擁有的 NIMB 代幣換成 NBU_WBNB 代幣后再換成 BNB，歸還閃電貸獲利；

此次攻擊的主要原因在于計算獎勵的時候僅取決于池子中的代幣數量導致被閃電貸操控，從而獲取比預期更多的獎勵。慢霧安全團隊建議在進行代幣獎計算時應確保價格來源的安全性。[2022/12/14 21:44:29]

1.由于EGD_Finance合約中獲取獎勵的claimAllReward函數在計算獎勵時會調用getEGDPrice函數來進行計算EGD的價格,而getEGDPrice函數在計算時僅通過pair里的EGD和USDT的余額進行相除來計算EGD的價格

HBTC霍比特交易所與慢霧科技達成安全戰略合作:今日，HBTC 霍比特交易所（原BHEX交易所）與慢霧科技達成安全戰略合作，雙方針對數字貨幣行業中的底層公鏈安全研究、鏈上數據分析、威脅情報同步、OTC 反洗錢(AML)等多個環節保持密切合作，共同維護區塊鏈生態安全。

HBTC 霍比特交易所是技術驅動的加密資產交易平臺，由火幣、OKEx 等 56 家優質資本共同投資，主營幣幣、合約、OTC、期權、理財等業務，平臺上主流幣及合約交易擁有行業頂級的流動性和深度。慢霧科技是國內成立最早且國際化的區塊鏈安全公司，主要通過安全審計與防御部署服務了全球許多頭部或知名的項目。[2020/4/13]

2.攻擊者利用這個點先閃電貸借出池子里大量的USDT,使得EGD代幣的價格通過計算后變的很小,因此在調用claimAllReward函數獲取獎勵的時候會導致獎勵被計算的更多,從而導致池子中的EGD代幣被非預期取出

聲音 | 慢霧科技余弦：數字貨幣行業缺乏國家相關的監管背書，有很多的亂象:據《每日經濟新聞》消息，區塊鏈生態安全公司慢霧科技創始人余弦在接受采訪時分析，簡單來說，幣圈的風險主要有兩個。第一個風險是地下黑客，當前的幣圈，無論是基礎設施還是上層建筑都比較脆弱，相對互聯網來說，攻擊者的攻擊成本很低。通過這些攻擊手法，地下黑客能夠盜取很多數字貨幣。第二個風險是這個行業缺乏監管，缺乏國家相關的監管背書，有很多的亂象，比如說各種資金盤、等，這些行為其實都是打著區塊鏈噱頭的非法集資。而針對如何保護數字貨幣的安全，余弦表示，這是一個新的行業，小白投資者應該多學習這個行業的知識，不要只看表面。隨著知識的加深，對很多表面上的包裝、噱頭，自己就會有一些判斷。另外，存儲數字貨幣的手機、電腦，要安裝殺軟件。不使用通過不明渠道下載的軟件來存儲數字貨幣，這是最基本的安全防范。[2019/8/30]

本次事件是因為EGD_Finance的合約獲取獎勵時計算獎勵的喂價機制過于簡單,導致代幣價格被閃電貸操控從而獲利。參考攻擊交易鏈接可點擊此處。

Tags：NIMNIMBBNB數字貨幣Anime TokenNimbus Governance Token白嫖steamtogetherbnb被朋友騙去弄數字貨幣犯法嗎

區塊鏈