PAN:PancakeHunny 攻擊事件分析-ODAILY_TUSDB

前言

北京時間10月20日晚，知道創宇區塊鏈安全實驗室監測到BSC鏈上的DeFi協議PancakeHunny的WBNB/TUSD池遭遇閃電貸攻擊，HUNNY代幣價格閃崩。實驗室第一時間跟蹤本次事件并分析。

分析

FTX Japan：日本客戶資產不受美國破產法約束，擬基于此逐步恢復用戶取款:12月2日消息，FTX Japan在其最新的公告中表示，該公司已向代理 FTX集團的律師事務所確認，鑒于日本法律下這些資產的持有方式和財產權益，客戶委托給該公司的法定貨幣和加密資產不受美國破產法第11章的約束，也就是說日本客戶現金和加密貨幣不應成為FTX Japan財產的一部分。FTX Japan計劃在此基礎上恢復正常的取款服務。

此前消息，FTX Japan計劃在今年年底前恢復用戶提款，并制定了返還客戶資金的計劃草案。[2022/12/2 21:16:55]

攻擊者信息

Bitpanda聘請畢馬威負責資產驗證:11月15日消息，奧地利加密貨幣交易平臺 Bitpanda GmbH 聯席首席執行官 Demuth 表示，由于 FTX 破產事件影響了整個加密行業，他們決定聘請四大會計事務所畢馬威進行資產驗證，包括核實客戶資產是否由存儲在 Bitpanda 冷錢包中的相應加密貨幣資金覆蓋，涉及比特幣等其他 5 個 Token。[2022/11/15 13:08:56]

攻擊者：

0x731821D13414487ea46f1b485cFB267019917689

攻擊合約：

Black Rock Petroleum Company將為OMH部署超100萬臺比特幣礦機:內華達州的一家公司Black Rock Petroleum Company（簡稱BKRP）宣布已與Optimium Mining Host Limited Liability Co（簡稱OMH）簽訂了一項具有約束力的協議，將托管和運作多達100萬臺比特幣礦機。雙方合約期限為24個月，可選擇延長12個月，但須事先通知。OMH將支付全部的電力供應費用。據悉，這些礦機來自中國境內，并由OMH出口至加拿大，由BKRP部署在加拿大阿爾伯塔省的三個天然氣生產基地中，首批20萬臺礦機將在BKRP最近宣布計劃收購的Quirk Creek天然氣工廠現場托管，并由Caledonian Midstream Corporation運營。（Globe Newswire）[2021/7/17 0:59:10]

0xa5312796DC20ADd51E41a4034bF1Ed481b708e71

公告 | BitTrade正式將企業注冊名稱更改為Huobi Japan:昨日火幣日本發布公告稱，BitTrade已正式完成企業注冊名稱更改，由“BitTrade Co., Ltd.”改為“Huobi Japan inc.”。[2019/2/14]

第一次攻擊tx：

0x1b698231965b72f64d55c561634600b087154f71bc73fc775622a45112a94a77

被攻擊池信息

VaultStrategyAlpacaRabbit：0x27d4cA4bB855e435959295ec273FA16FE8CaEa14

VaultStrategyAlpacaRabbit：0xef43313e8218f25Fe63D5ae76D98182D7A4797CC

攻擊流程

攻擊者從CreamFinance通過閃電貸獲得53.25BTC

用53.25BTC從Venus借出2717107TUSD

在PancakeSwap上，用TUSD兌換BNB，抬高BNB價格

使用50個不同的錢包地址將38250TUSD存入HUNNYTUSDVault合約

贖回2842.16TUSD，并鑄造12020.40HUNNY代幣

以7.78WBNB的價格賣出HUNNY代幣

50個錢包重復26次以上步驟

細節

VaultStrategyAlpacaRabbit合約池的_harvest()函數中，資產的兌換路由為ALPACA=>WBNB=>TUSD，而WBNB/TUSD池中流動性較低，易被操縱。

在巨額兌換后，抬高了WBNB對TUSD的價格，攻擊者調用harvest()函數后，Vault合約的TUSD利潤劇增，隨后調用getReward()函數，通過30%的performanceFee手續費鑄造HUNNY代幣，只要鑄造出的HUNNY代幣價值超過30%的performanceFee手續費，就有利可圖。

目前，PancakeHunny官方已采取緊急措施，暫停了TUSDVault合約的鑄幣。

總結

此次PancakeHunny遭遇的閃電貸攻擊的本質原因在于底層資產兌換過程的價格易被操控，未做全面考慮和防護，從而使得攻擊者通過巨額資金操縱某一交易對價格進行攻擊套利。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：PANUSDTUSDUNNPancakeBunny泰達幣usdt錢包TUSDBsunny幣未來前景

DAI