2022年9月8日，CertiKSkynet天网监测到NewFreeDAO(NFD)项目遭遇了闪电贷攻击。
漏洞在NFD项目部署的一个未经验证的奖励合约中，攻击者利用闪电贷借入NFD代币，并将其发送到攻击合约。随后攻击合约则调用未经验证的奖励合约，向攻击者发送更多的NFD代币。
攻击者在3次攻击中重复这个过程，获取了4481个WBNB，价值约125万美元。
由于攻击者大量抛售NFD代币，该代币的价格已经暴跌超过99%。
②攻击者执行了三次闪电贷攻击，借助第一笔闪电贷款，借入250个WBNB，并将其交易为6,313,508个NFD代币。
慢雾：V神相关地址近日于Uniswap卖出3000枚以太坊:11月14日消息，据慢雾监测显示，以太坊创始人Vitalik Buterin地址（0xe692开头）近日在Uniswap V3上分三笔将3000枚以太坊（约400万美元）兑换成了USDC。[2022/11/14 13:03:22]
③这些代币被发送到一些未经验证的合约中。
④这调用了0xe2f9d09c，输入NFD代币地址0x0000000000000000000038c63a5d3f206314107a7a9fe8cbba29d629d4f9。
法国巴黎银行在以太坊链上为EDF发行代币化债券:金色财经报道，?法国巴黎银行在以太坊区块链上构建并发行代币化债券，所得款项用于通过EDF ENR资助太阳能项目，该项目帮助企业和个人安装太阳能电池板。
这家欧洲第二大银行表示，代币化的一个主要好处是使较小的可再生能源项目能够筹集资金，并允许进行小额投资。也许是因为债券投资者是法国巴黎银行资产管理公司，所以没有必要将债券保留在区块链上，在48小时内，它被转换为传统债券。
该银行的几个部门都参与了这一过程。法国巴黎银行企业与机构银行参与了使用该集团的代币化平台AssetFoundry的发行工作。法国巴黎银行证券服务部管理托管方面，法国巴黎银行资产管理部购买了该债券。此外，EDF的web3子公司Exaion进行了区块链代币化，以确保其使用低碳能源。[2022/7/14 2:13:32]
⑤这触发了NFD项目部署的另一个未经验证的奖励合约0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e.0x6811e3b9()。
Vitalik为以太坊分片技术发布部分概念验证:据coindesk报道，以太坊创始人Vitalik Buterin在发布 “分片即将到来”时分享了一个新的代码库，该代码库记录了所谓的“分支选择规则”的部分概念验证，这是“以太碎片”如何与主区块链相互作用的代码。分片技术旨在将以太坊分成几个并发网络，从而使整个网络更加高效地扩展。这将有助于 缓解 网络面临的拥塞，从而提高交易速度并降低成本。[2018/5/2]
之后，未验证的合约实际上从奖励合约中收到了额外的525,283个NFD代币——总计6,838,792个NFD代币，这些代币被发回给了攻击合约。
Cyber??News：近3800份以太坊智能合约存在严重漏洞:Cyber??News调查团队对以太坊智能合约的分析表明，近3800份智能合约存在严重漏洞，可以使黑客迅速窃取一百万美元。该团队表示，对于用户来说，很容易检查他们所使用的平台是否正在使用带有任何这些漏洞的智能合约。他们可以在Etherscan或类似的浏览器上查看智能合约，以查看这些合约是否已经过审计和验证。如果智能合约尚未通过审计或验证，建议避免使用该特定平台或在线服务。[2020/11/19 21:17:30]
⑥在上述交易中，NFD合约错误地释放了额外的525,283NFD。因此当攻击者完成攻击时，获取了总计343,323,371个NFD代币，在偿还了最初的250WBNB贷款后，获利4481WBNB，总价值约125万美元。
⑦最后攻击者通过两笔交易，将2,000WBNB换为556,556.72USDT。目前攻击者钱包仍持有2,481WBNB。
资金去向
攻击者总共获得了4481个WBNB，并将其中的2000个换成了55.7万枚USDT，剩下的WBNB仍然在攻击者的账户中。
将2000WBNB交易为USDT的两笔交易：
https://bscscan.com/tx/0x8c035fc9c3d944b3dd4a0ea721c119240cb624e79b7625a16173ad6682410599?
https://bscscan.com/tx/0xda4b4de6ecacfe9b8b60167a2010630aeec103ab51920eb2e1b94ba1fef6c95b?
相关地址
攻击者账户：
https://bscscan.com/address/0x22c9736d4fc73a8fa0eb436d2ce919f5849d6fd2?
攻击合约：
https://bscscan.com/address/0xa35ef9fa2f5e0527cb9fbb6f9d3a24cfed948863?
未经验证的奖励合约：
https://bscscan.com/address/0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e?
WBNB-USDT对：
https://bscscan.com/address/0x16b9a82891338f9ba80e2d6970fdda79d1eb0dae?
USDT-NFD对：
https://bscscan.com/address/0x26c0623847637095655b2868c3182b2285bdaeaf?
写在最后
攻击发生后，CertiK的推特预警账号以及官方预警系统已于第一时间发布了消息。同时，CertiK也会持续于官方公众号发布与项目预警相关的信息。
CertiK的端到端安全解决方案，从智能合约审计和KYC项目背景调查服务，到Skynet天网动态扫描系统和SkyTrace等区块链分析工具，以及漏洞赏金计划，助力每一个项目充分发挥潜力的同时为Web3.0打造用户和投资者高参与的生态系统。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。