USD:又一例閃電貸攻擊 Palmswap安全事件分析_比特幣

在 2023 年 7 月 24 日，Palmswap 遭受了一次閃電貸攻擊，導致失去了 901,455 USDT（約等于 901,000 美元）。由于項目的 PlpManager 合約存在漏洞，導致 USDP 計算錯誤，從而導致了此次攻擊。

在 2023 年 7 月 24 日，Palmswap 遭受了一次閃電貸攻擊，導致損失約 901,000 美元。攻擊最初是在區塊 30248637 上由外部擁有的地址（EOA）0x5cf40 嘗試發起的，但由于攻擊者耗盡了 gas 費用而失敗。

圖片：失敗的交易。來源：Bscscan原始攻擊者從以太坊網絡的 Tornado Cash 中提取了 1 個 ETH。然后，將 1 個 ETH 兌換成 USDT 并通過跨鏈橋轉移到幣安智能鏈（BSC）。隨后，將 USDT 兌換成 BNB 并用于創建攻擊合約。然而，不幸的是，攻擊者沒有足夠的 BNB 來覆蓋這次攻擊。

ARK基金創始人：比特幣是1600年代以來又一個新的資產類別:ARK基金創始人Cathiewood最近在MSCI主辦、CFAInstitute和萬得3C協辦的直播中表示，在互聯網發展的早期階段，很少有人想到它會和商業聯系在一起，因為早期的互聯網主要是為情報部門、國防部門和學術界服務的，直到1991年之前，大眾還不允許被使用互聯網。所以最初的互聯網理所當然的不存在支付系統，我們認為區塊鏈技術就是互聯網內生的支付平臺，而比特幣就是所有加密貨幣中的儲備貨幣，我們認為區塊鏈技術大部分的價值會在向少數幾種加密貨幣匯聚。至于以區塊鏈技術為核心的去中心化的金融幾乎已經發展出一個平行的金融服務生態系統，包括投資、租賃、衍生品，幾乎包含傳統金融服務的方方面面。區塊鏈技術還處于發展的初期，它風險很大，但我們相信對其生態系統的管控治理已經得到很大程度的改善，因為疫情之后加密資產的崩潰，以及很多投資者破產，使得對區塊鏈的管控更加完善。我們也看到越來越多的機構投資者開始投資比特幣，我們也知道比特幣的總體供應只有2100萬枚，而現在已經到了1900萬，所以它具備稀缺性的特征，使之可以被看成是數字黃金。我們認為機構投資者的介入是一劑強心劑，而且比特幣的價格跟其他加密資產并沒有什么相關性。因此，我們相信，比特幣是1600年代以來，我們發現的又一個新的資產類別。過去六個月，最讓我們驚訝的就是像特斯拉這樣的公司開始買入比特幣以分散持有現金的風險，這有可能是因為這些公司想在非洲拓展業務，而這些地區由于本國貨幣幣值不穩定，很難進行交易。[2021/3/26 19:19:28]

這讓 EOA 0xf84ef 能夠發現失敗的交易，理解并復制了區塊 30248638 的交易從而支付了正確數量的 gas 費用。

動態 | 幣安被盜BTC中又一關鍵地址異動，黑客持續洗錢中:據PeckShield數字資產護航系統（AML）最新數據顯示，繼昨天幣安被盜7,074枚BTC的其中1個包含1,060枚BTC bc1q2rdpy開頭的地址密集洗錢后，今天下午16時54分，另一存放有1,060枚BTC 16SMGihY9開頭的地址也出現異動。黑客又以不斷切割、分散的方式，頻繁操作了數百筆交易，直至新地址上最小額僅有0.78枚BTC。截至目前，幣安被盜7,074枚BTC分散后的7個主要地址中，已有2個開始密集洗錢，其中大部分小額地址存洗錢成功可能。[2019/6/15]

圖片：成功交易。來源：Bscscan由此可見，原始攻擊未能成功完成，是因為攻擊者沒有額外的 0.4 BNB 來支付交易費用。

中國信通院所長何寶宏：區塊鏈只是互聯網又一塊補丁，不可能顛覆它:中國信息通信研究院云計算與大數據研究所所長何寶宏今日在第二屆區塊鏈新金融高峰論壇上表示，區塊鏈只是20年來“對互聯網又一塊大點的補丁”，不可能顛覆互聯網，更不可能顛覆當前世界。[2018/6/6]

一旦 EOA 0xf84ef 成功利用漏洞，被盜資金就會被轉移到了 EOA 0x0Fe74，目前仍在該地址中。

圖像：被盜資金轉移。來源：BscscanThe Palmswap 團隊已經聯系持有被盜資金的錢包，并試圖協商賞金。然而，BSC scan 似乎錯誤地標記了一個錯誤的錢包作為 Palmswap 的攻擊者：

繼蔡凱龍之后，又一券商大佬加盟火幣:此前曾有消息稱袁煜明將就職于火幣集團，就此事金色財經向火幣官方進行確認，火幣官方表示：“袁煜明已經正式加盟火幣中國，擔任火幣區塊鏈應用研究院院長，負責區塊鏈行業研究與規范制度。”據了解，袁煜明曾囊括業內幾乎所有重量級大獎，包括新財富、水晶球、保險行業最佳分析師，第一財經，湯森路透，天眼等。[2018/3/3]

圖片：鏈上消息提供賞金。來源：BscscanPalmswap 的官方 X 賬戶證實了其與黑客的談判已經開始。

圖片：Palmswap X 官方公告（來源：@Palmswaporg）攻擊過程漏洞利用交易：0x62dba55054fa628845fecded658ff5b1ec1c5823f1a5e0118601aa455a30eac9

用比特幣納稅！美國又一個州提交相關法案:近日，繼美國亞利桑那州比特幣納稅法案被參議院通過后，喬治亞州也有兩位州參議員提出用比特幣納稅的法案。據法案公開記錄顯示，這項措施如果落地，將調整州政府稅務部的規定，允許其接受以比特幣等加密貨幣支付政府稅款以及各類許可證的費用。[2018/2/24]

攻擊者：0xf84efa8a9f7e68855cf17eaac9c2f97a9d131366

受漏洞影響的合約：0xa68f4b2c69c7f991c3237ba9b678d75368ccff8f

1.攻擊者使用閃電貸借取了 3,000,000 USDT（價值 3,000,691.52 美元）。

2.通過函數 buyUSDP()，攻擊者將 1,000,000 USDT 與 Vault 交換，獲得了 996,769 Palm USD (USDP) 和 996,324 PALM LP (PLP)。隨后，攻擊者在質押 PLP 后獲得了 996,324 fee PALM LP (fPLP)。

3.攻擊者將剩余的 2,000,000 USDT 與 Vault 交換，得到 1,993,538 USDP，然后觸發了 removeLiquidity() 函數，該函數將前一步中得到的 fPLP 與 Vault 交換，得到 1,962,472 PLP，然后進一步交換為 1,956,585 USDT（價值 1,957,036.45 美元）。由于 PlpManager 合約中 USDP 計算錯誤，Vault 錯誤地將更多的 USDT 返還給了攻擊者。

圖片：plpmanager.sol 源代碼來源：BscScan4.在第 3 步中，1,953,430 USDP 被交換成了 1,947,570 USDT（價值 $1,948,019.41）。

5.攻擊者還清了通過閃電貸借入的最初 3,000,000 USDT，之后攻擊者的錢包中還剩下 $901,445。

在 2023 年，已經發生了 128 起閃電貸攻擊，相比之下，我們在 2022 年只記錄了 101 起。隨著攻擊者尋求從智能合約漏洞中獲取最大利潤，閃電貸攻擊在黑客中變得越來越受歡迎。

在此次事件發生時，閃電貸攻擊已經導致 2.55 億美元的損失，平均每起攻擊導致約為 200 萬美元的損失。在 7 月的前三周，我們已經記錄了 22 起閃電貸攻擊，造成共計 850 萬美元的損失。2023 年每個月的平均閃電貸攻擊次數為 18 次。目前，7 月的閃電貸事件數量正朝著創紀錄的方向發展。目前，它與 2023 年 2 月持平，該月份也有 22 起攻擊事件。

圖表：2023 年閃電貸攻擊導致的資金損失。數據來源：CertiK

圖表：2023 年各月份的閃電貸攻擊次數。數據來源：CertiK結論Palmswap 的閃電貸攻擊是 CertiK 在 7 月份檢測到的第二大惡意閃電貸攻擊，該月份總共損失了 580 萬美元。該攻擊在 2023 年的惡意閃電貸攻擊中排名第十。盡管 2023 年的閃電貸攻擊數量沒有減少，今年已經發生了 127 起，而 2022 年僅有 101 起，但當前損失的資金體量顯著降低。這其中可能有幾個原因。首先，2022 年上半年的市場條件導致被盜的資產在美元價值上更高。其次，由于閃電貸是一個相對較新的概念，用于防御這種攻擊的安全策略仍在開發中，這意味著持有大量資金的項目成為攻擊目標。2023 年的閃電貸攻擊數量證明了項目方需要強大的安全措施和第三方審計。

CertiK中文社區

企業專欄

閱讀更多

Foresight News

金色財經 Jason.

白話區塊鏈

金色早8點

LD Capital

-R3PO

MarsBit

深潮TechFlow

Tags：USD區塊鏈比特幣PALUpbit可以購買usdt嗎數字人民幣與區塊鏈比特幣錢包余額截圖pala幣怎么樣怎么轉換

Bitcoin