ULT:一文復盤Flurry Finance被攻擊事件_Apache Token

北京時間2022年2月22日下午1:46，CertiK安全專家團隊檢測到與FlurryFinance相關的一系列可疑活動，FlurryFinance的Vault合約受到攻擊，價值約29.3萬美元的資產被盜。

下文CertiK安全團隊將從合約地址及攻擊操作等方面為大家進行詳細的解讀并分析。

攻擊步驟

攻擊者部署了一個惡意Token合約，并為Token和BUSD創建了一個PancakeSwap交易對。

攻擊者：

https://bscscan.com/address/0x0f3c0c6277ba049b6c3f4f3e71d677b923298b35

惡意Token合約：

SBF律師已與美檢察官就SBF保釋的新條件達成一致:金色財經報道，根據法庭文件，FTX創始人SBF的律師已與美國檢察官就保釋的新條件達成一致。提交給紐約南區地方法官Lewis Kaplan批準的條件中，SBF將獲得一部新手機，該手機無法訪問互聯網，并且僅限于短信和語音通話。SBF還將獲得一臺新筆記本電腦，不過功能有限，只能訪問經批準的網站。據悉，這些條件最初是在本月初提出的，（CoinDesk）[2023/3/28 13:31:00]

https://bscscan.com/address/0xb7a740d67c78bbb81741ea588db99fbb1c22dfb7

PancakeSwap交易對：

https://bscscan.com/address/0xca9596e8936aa8e902ad7ac4bb1d76fbc95e88bb

俄羅斯RACIB協會呼吁普京支持加密社區制定監管框架:金色財經報道，俄羅斯加密經濟學、人工智能和區塊鏈協會(RACIB)呼吁俄羅斯總統普京支持加密社區制定該國加密貨幣和相關技術的監管框架。

在致俄羅斯國家元首的一封信中，該協會成員警告說，政府對數字資產監管的態度造成了“經濟在引入新金融技術方面落后的嚴重風險”。該協會堅持認為，目前的國家政策不允許俄羅斯公司利用新金融工具的潛力，并迫使他們轉移到其他司法管轄區，這將給財政部帶來直接的財政損失。

該協會呼吁總統召集一次由加密行業參與的專門討論這些問題的會議。他們還建議成立一個工作組，為引入數字金融技術準備一個試點項目，包括在制裁期間與俄羅斯相關的跨境支付。[2023/3/8 12:49:19]

攻擊者從Rabbit的Bank合約中進行閃電貸，并觸發了StrategyLiquidate的execute方法。

調查：82%的百萬富翁在2022年尋求加密投資建議:金色財經報道，金融咨詢公司deVere Group最近進行的一項民意調查顯示， 盡管對加密貨幣來說是充滿挑戰的一年，但82%的百萬富翁客戶已考慮在2022年投資比特幣 ( BTC ) 等數字資產。

1月30日發布的調查結果 發現，最近12個月，每10位接受調查的公司高凈值 (HNW) 客戶中就有8位（擁有120萬至610萬美元可投資資產的個人）向金融顧問尋求有關加密貨幣的建議。（Cointelegraph）[2023/1/31 11:38:28]

execute方法將輸入數據解碼為LPToken地址，并進一步得到惡意Token合約地址。

攻擊者利用惡意Token合約中的攻擊代碼發起初步攻擊：

韓國立法者正加緊監管加密貨幣:金色財經報道，在韓國首都首爾，該國國民議會的 300 名成員目前正在辯論 17 項與加密相關的獨立提案——從在交易所實施準備金要求到確保公平交易，旨在為韓國加密投資者提供更好的保護。這場辯論的重點將是數字資產基本法案 (DABA)，這是一個全面的法律框架，將為不斷發展的韓國加密行業提供監管指南。韓國媒體首次報道稱，立法者在2022年 6月開始研究 DABA。[2023/1/27 11:31:39]

https://bscscan.com/address/0xbeeb9d4ca070d34c014230bafdfb2ad44a110142

StrategyLiquiddate合約：

https://bscscan.com/address/0x5085c49828b0b8e69bae99d96a8e0fcf0a033369

惡意Token合約調用FlurryRebaseUpkeep合約的performUpkeep方法，對Vault合約的相關金額進行重新統計，并更新了與之相關的RhoToken的multiplier。

此處的multiplier將用于RhoToken的余額計算。對Vault合約的相關金額進行重新統計，并更新了與之相關的RhoToken的multiplier。此處的multiplier將用于RhoToken的余額計算。該更新基于與Vault合約相關的盈利策略合約里的余額。

更新是在閃電貸的過程中觸發的，此時的閃電貸還未結束，借出的金額也還未歸還，因此Bank合約的當前余額遠小于正常值。此Bank合約也是某個strategy的一部分，因而使得某strategy的余額小于正常值，進一步導致multiplier小于正常值。

FlurryRebaseUpkeep合約：

https://bscscan.com/address/0x10f2c0d32803c03fc5d792ad3c19e17cd72ad68b

其中一個Vault的合約：

https://bscscan.com/address/0xec7fa7a14887c9cac12f9a16256c50c15dada5c4

攻擊者歸還了閃電貸的款項并完成了初步攻擊，且為進一步攻擊獲利做好了準備。

在緊接著的交易中，攻擊者以前一次交易中得到的低multiplier存入Token，將multiplier更新為更高的值，并以高multiplier提取Token。例如，在其中一筆初步攻擊的交易中，multiplier被更新為4.1598e35。

在進一步攻擊的交易中multiplier被更新為4.2530e35。

攻擊實例：

https://bscscan.com/tx/0x923ea05dbe63217e5d680b90a4e72d5552ade9e4c3889694888a2c0c1174d830

https://bscscan.com/tx/0x646890dd8569f6a5728e637e0a5704b9ce8b5251e0c486df3c8d52005bec52df

因為multiplier乘數是決定RhoToken余額的因素之一：

攻擊者的RhoToken余額在交易中增加了，所以ta能夠從Vault中提取更多的Token。?

攻擊者多次重復這一過程，從Vault合同中盜走了價值29.3萬美元的資產。

寫在最后

該次事件主要是由外部依賴性引起的。

因此CertiK的安全專家建議：項目在與外部合約交互之前應對其安全性有清晰的認知，并且限制外部依賴可能對自身合約的影響。

本次事件的預警已于第一時間在?CertiK官方推特進行了播報。

除此之外，CertiK官網已添加社群預警功能。在官網上，大家可以隨時看到與漏洞、黑客襲擊以及RugPull相關的各種社群預警信息。

Tags：ULTKENTOKETOKENWIZARD Vault (NFTX)kraken交易所哪個國家Apache TokenCCB Token

XRP