ULT:一文復盤Flurry Finance被攻擊事件_GSTT Token

北京時間2022年2月22日下午1:46，CertiK安全專家團隊檢測到與FlurryFinance相關的一系列可疑活動，FlurryFinance的Vault合約受到攻擊，價值約29.3萬美元的資產被盜。

下文CertiK安全團隊將從合約地址及攻擊操作等方面為大家進行詳細的解讀并分析。攻擊步驟

攻擊者部署了一個惡意Token合約，并為Token和BUSD創建了一個PancakeSwap交易對。攻擊者：https://bscscan.com/address/0x0f3c0c6277ba049b6c3f4f3e71d677b923298b35惡意Token合約：https://bscscan.com/address/0xb7a740d67c78bbb81741ea588db99fbb1c22dfb7PancakeSwap交易對：https://bscscan.com/address/0xca9596e8936aa8e902ad7ac4bb1d76fbc95e88bb攻擊者從Rabbit的Bank合約中進行閃電貸，并觸發了StrategyLiquidate的execute方法。execute方法將輸入數據解碼為LPToken地址，并進一步得到惡意Token合約地址。攻擊者利用惡意Token合約中的攻擊代碼發起初步攻擊：https://bscscan.com/address/0xbeeb9d4ca070d34c014230bafdfb2ad44a110142StrategyLiquiddate合約：https://bscscan.com/address/0x5085c49828b0b8e69bae99d96a8e0fcf0a033369

穩定幣市值下跌觸及2021年8月以來最低水平:金色財經報道，據CCData報告稱，穩定幣市值降至1270億美元，連續16個月下跌，已觸及2021年8月以來的最低水平。[2023/7/21 15:50:17]

惡意Token合約調用FlurryRebaseUpkeep合約的performUpkeep方法，對Vault合約的相關金額進行重新統計，并更新了與之相關的RhoToken的multiplier。此處的multiplier將用于RhoToken的余額計算。對Vault合約的相關金額進行重新統計，并更新了與之相關的RhoToken的multiplier。此處的multiplier將用于RhoToken的余額計算。該更新基于與Vault合約相關的盈利策略合約里的余額。更新是在閃電貸的過程中觸發的，此時的閃電貸還未結束，借出的金額也還未歸還，因此Bank合約的當前余額遠小于正常值。此Bank合約也是某個strategy的一部分，因而使得某strategy的余額小于正常值，進一步導致multiplier小于正常值。FlurryRebaseUpkeep合約：https://bscscan.com/address/0x10f2c0d32803c03fc5d792ad3c19e17cd72ad68b其中一個Vault的合約：https://bscscan.com/address/0xec7fa7a14887c9cac12f9a16256c50c15dada5c4

Stably在比特幣網絡上推出美元穩定幣StablyUSD:5月28日消息，Web3 支付基礎設施和穩定幣即服務提供商 Stably 宣布在比特幣網絡上推出美元穩定幣 Stably USD，符號為 #USD。這是一個基于比特幣 Ordinals 協議創建的 BRC20 標準穩定幣，每一枚 #USD 都在由美國監管的托管人管理的抵押賬戶中以 1:1 比例美元進行支持，以滿足 KYC/AML 驗證的代幣持有者的利益。該賬戶月度報告由第三方穩定幣證明人進行，以確保 #USD 代幣始終以美元完全抵押。

#USD 目前可以由 200 多個國家 / 地區（包括多達 44 個美國州）的 KYC 驗證用戶通過 Fedwire、SWIFT、USDC 和 USDT 發行 / 贖回。Stably 表示，它在 #USD 的首次發布中采用了手動發行 / 贖回流程，但計劃在 2023 年第三季度通過該公司的即插即用法幣網關小工具 Stably Ramp 發布對自動發行 / 贖回的支持。屆時，#USD 用戶將能夠通過更傳統的支付方式，包括 ACH、即時 ACH、信用卡 / 借記卡，以及銀行電匯。[2023/5/28 9:47:05]

持有超過0.1 ETH的地址數量創1個月新低:金色財經報道，Glassnode數據顯示，持有超過0.1 ETH的地址數量達到5,124,042個，創1個月新低。[2023/3/5 12:42:42]

攻擊者歸還了閃電貸的款項并完成了初步攻擊，且為進一步攻擊獲利做好了準備。在緊接著的交易中，攻擊者以前一次交易中得到的低multiplier存入Token，將multiplier更新為更高的值，并以高multiplier提取Token。例如，在其中一筆初步攻擊的交易中，multiplier被更新為4.1598e35。

在進一步攻擊的交易中multiplier被更新為4.2530e35。

美參議員正在推進由SBF支持的《數字商品消費者保護法》:金色財經報道，阿肯色州共和黨人John Boozman在周四晚間發布聲明表示，承諾將繼續推進《數字商品消費者保護法》。此外，美國參議院農業委員會主席Debbie Stabenow也表示，美國和監管機構將敲定該法案，為委員會投票做準備。

據悉，FTX首席執行官Samuel Bankman-Fried（SBF）一直被稱為《數字商品消費者保護法》最強有力的行業支持者，該法案將授予美國商品期貨交易委員會(Commodity Futures Trading Commission)對加密貨幣市場和交易所更多的權力。

此前報道，美國證券交易委員會（SEC）主席Gary Gensler表示，SBF在推動參議院農業委員會目前正在審議的《數字商品消費者保護法》方面的作用破壞了SEC的權威。（the block）[2022/11/11 12:49:45]

攻擊實例：https://bscscan.com/tx/0x923ea05dbe63217e5d680b90a4e72d5552ade9e4c3889694888a2c0c1174d830https://bscscan.com/tx/0x646890dd8569f6a5728e637e0a5704b9ce8b5251e0c486df3c8d52005bec52df因為multiplier乘數是決定RhoToken余額的因素之一：

攻擊者的RhoToken余額在交易中增加了，所以ta能夠從Vault中提取更多的Token。攻擊者多次重復這一過程，從Vault合同中盜走了價值29.3萬美元的資產。寫在最后

該次事件主要是由外部依賴性引起的。因此CertiK的安全專家建議：項目在與外部合約交互之前應對其安全性有清晰的認知，并且限制外部依賴可能對自身合約的影響。本次事件的預警已于第一時間在CertiK官方推特進行了播報。

除此之外，CertiK官網已添加社群預警功能。在官網上，大家可以隨時看到與漏洞、黑客襲擊以及RugPull相關的各種社群預警信息。

Tags：ULTTOKENTOKEKENMulticoinKTN TokenGSTT TokenDragon Kart Token

TUSD