XWIN:BSC鏈上“閃電貸攻擊”再襲 xWin Finance被薅羊毛事件簡析_WIN

事件概覽

北京時間6月25日，鏈必安-區塊鏈安全態勢感知平臺輿情監測顯示，基于幣安智能鏈的鏈上DeFi協議xWinFinance遭到“閃電貸攻擊”。據統計，xWinFinance代幣24小時跌幅達近90%。

成都鏈安·安全團隊第一時間介入分析，針對xWinFinance被黑事件啟動安全應急響應。經由分析，xWinFinance被黑事件頗具“代表性”及“典型性”，有必要針對攻擊流程進行披露，以起警示作用。攻擊者通過“閃電貸”套出原始資金，并重復攻擊步驟，最終完成獲利，成功“薅羊毛”。

DEUS：DEI攻擊者已退還BSC鏈上約107萬美元資產:5月7日消息，DeFi協議DEUS發推特確認稱，DEI攻擊者地址之一（0xdf610228開頭）已經將1,070,127枚Binance-PegDaiToken（價值約107萬美元）轉入DEUS團隊控制的BSC鏈上多簽地址。

此前報道，DEUS推出的穩定幣DEI昨日遭黑客攻擊，損失已超630萬美元，DEUS今日表示，如果資金被退回，他們將不會采取任何法律行動，20%的資金將作為漏洞賞金。[2023/5/7 14:48:07]

事件分析

Union of Free Daos（UFD）宣布已上線BSC鏈:據官方消息，Union of Free Daos（UFD）宣布已于2023年3月31日正式上線BSC鏈，首日交易量高達300萬u，價格漲幅1541%。“UFD”是以區塊鏈協議價值資產和多鏈合約生態價值應用落地為前提，聯合更多區塊鏈世界的優秀DAO組織資源，由一群UFD聯盟礦主們聯合發起，他們將通過UFD聯盟DAO組織，和區塊鏈協議合約生態聯盟價值應用革新，以實現改變區塊鏈世界金融生態的格局。[2023/4/2 13:39:56]

首先，攻擊者利用“推薦人將獲得獎勵”的特殊機制，利用“閃電貸”多次添加和移除流動性，從而獲得了巨量獎勵，以進行獲利。

燃力士將舉辦陳偉霆粉絲見面會，在BSC發行NFT門票:運動健身飲料CELSIUS燃力士將于4月30日14:30在北京摩卡藝術中心舉辦陳偉霆粉絲見面會，對應的VIP門票已經通過721標準發行為BSC上的NFT門票，可以通過區塊鏈瀏覽器進入Bscscan，根據邀請函上的智能合約和TokenID查看詳細信息，[2021/4/29 21:11:31]

下圖是攻擊流程的一個循環：

1.?攻擊者首先利用閃電貸借來的巨量BNB并調用Subscribe，從而獲得了LP以及多余的XWIN；

2.?攻擊者移除流動性，并兌換多余的XWIN進行回本；

3.?反復上述操作，不斷積累獎勵的XWIN；

4.最終，攻擊者取出積累的XWIN獎勵，全部兌換成BNB，離場。

事件復盤

看到這里，不難發現，此次xWinFinance被黑事件攻擊手法并不復雜；與其說此次事件是一次“黑客攻擊”，其實更像是一次“黑客薅羊毛”。

攻擊者利用了xWin?Finance的“獎勵機制”，不斷添加移除流動性，進而獲取獎勵。在正常情況下，由于用戶的添加量不大，因此獲取的收益可能會很小，甚至不足以支付手續費；但在巨量資金面前，獎勵就會變得異常高了。

因此，成都鏈安·安全團隊建議，項目方在日常的安全防護工作之中，除了要搭建起一整套健全的防范機制和風控系統以外，也應當注意核查項目自身的推廣手段和獎勵機制是否會存在一定漏洞，以防攻擊者借機開展攻擊，造成巨額損失

Tags：XWINWINBSCNANxWIN FinanceWINDYPARADOX NFT BSCCudl Finance

世界幣