据BeosinEagleEyeWeb3安全预警与监控平台的舆情消息，FTX交易所遭到gas窃取攻击，黑客利用FTX支付的gas费用铸造了大量XENTOKEN。Beosin安全团队对此事分析如下：
1.以其中一笔攻击交易为例
(0x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d69)，攻击者先在链上部署攻击合约(0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3)。
Terra研究员FatMan：Hodlnaut承认在Terra崩盘中的损失高达1.9亿美元:金色财经消息，Terra研究员FatMan发推表示，在Hodlnaut提交的一份新文件中显示，他们承认他们在Terra崩盘中的损失高达1.9亿美元。[2022/8/19 12:36:14]
2.FTX热钱包地址会向攻击合约地址转入小额的资金，利用攻击合约(0xCba9...7FD3)进行批量创建子合约。由于整个攻击中创建了大量合约，并且每次执行完子合约之后，子合约都会自毁。
区块链协会：FATF必须考虑实现反/反恐融资目标的新框架:官方消息，区块链协会（Blockchain Association）向金融行动特别工作组（FATF）提交一份文件，回应其旨在解决去中心化金融生态系统中潜在非法活动的最新指南。区块链协会担心该指南解决这些风险的方法将是无效的。同时，如果由FATF成员国执行，该指导意见将近乎事实上禁止在法律上参与和发展去中心化金融体系。协会及其成员准备协助反金融行动特别组织和其他有关机构大力发展新框架，以防止对虚拟资产和去中心化金融的非法利用。为此，该协会成立了一个反/反恐融资工作组，由cLabs首席风险与合规官、前司法部部长Jaikumar Ramaswamy、Aave总法律顾问Rebecca Rettig领导。[2021/4/21 20:43:46]
3.接下来子合约fallback()函数去向Xen合约发起铸币请求，如下函数，claimRank()函数传入一个时间期限进行铸币，铸币条件是只用支付调用gas费，并无其他成本，并且claimMintReward()函数为提取函数，该函数只判断是否达到时间期限，便可无条件提取。但在此次调用过程中，交易发起者为FTX热钱包地址，所以整个调用过程的gas都是由FTX热钱包地址所支付，而Xen铸币地址为攻击者地址。
FATF：稳定币可能会比其他虚拟资产更广泛的采用:根据FATF本周发布的报告，稳定币可能会比其他虚拟资产更广泛的采用，如果稳定币是由大型技术公司、电信公司、金融公司支持时更是如此。稳定币也和其他数字资产一样面临与恐怖融资风险，匿名性的提高和与其他虚拟资产的交换会进一步的掩盖非法资金来源。为了减轻风险，FATF敦促成员国和地区执行其虚拟资产标准，并指出其25个成员国、部分地区和司法管辖区、虚拟资产服务商已经执行该标准。FATF还计划在2021年6月之前审查其标准的实施和影响，并提供有关稳定币和虚拟资产的进一步指导。[2020/7/11]
4.1-3中的步骤，重复多次，并且每次重复过程中都会将已到期的代币提取出来，并且同时发起新的铸币请求。
截止发文时，通过BeosinTrace追踪发现，FTX交易所损失81ETH，黑客通过DODO、Uniswap将XEN代币换成ETH转移。
此前早些时候消息，FTX遭受GAS窃取攻击，黑客零成本铸造XEN代币17000次。
相关阅读：0成本获利80ETH，黑客是如何利用FTX铸造超1亿枚XEN？
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。