2022年5月21日，成都链安链必应-区块链安全态势感知平台舆情监测显示， bDollar项目遭受价格操控攻击，攻击者获利2381WBNB（价值约73万美元）。成都链安技术团队第一时间对事件进行了分析，结果如下。
#1 项目相关信息
Beosin：Skyward Finance项目遭受攻击事件简析:金色财经报道，根据区块链安全审计公司Beosin旗下Beosin EagleEye 安全风险监控、预警与阻断平台监测显示，Near链上的Skyward Finance项目遭受漏洞攻击，Beosin分析发现由于skyward.near合约的redeem_skyward函数没有正确校验token_account_ids参数，导致攻击者5ebc5ecca14a44175464d0e6a7d3b2a6890229cd5f19cfb29ce8b1651fd58d39传入相同的token_account_id，并多次领取了WNear奖励。本次攻击导致项目损失了约108万个Near，约320万美元。Beosin Trace追踪发现被盗金额已被攻击者转走。[2022/11/3 12:12:36]
由 Bearn.fi 提供的 bDollar 是币安智能链上的第一个算法稳定币，它可以确定性地调整其供应量，将代币的价格向目标价格方向移动，从而为 DeFi 带来可编程性和互操作性。
Mirror Protocol再次遭受攻击，剩余资金池面临枯竭风险:5月31日消息，Terra区块链上的DeFi应用Mirror Protocol再次遭受攻击，已有超过200万美元资金损失，比特币、以太坊和波卡的资金池已经枯竭，剩余的资金池与股票挂钩，若该漏洞在美国东部时间4:00（北京时间16:00）开市前交易时没有被修复，其所有的代币资产池都将面临风险。Mirror Protocol允许用户使用合成资产对科技股进行多头或空头操作，它运行在旧的Terra链（现称为TerraClassic）上。验证器节点BlockPane创始人ToddGarrison表示，问题是在Terra Classic链上运行节点的大多数验证器都在运行过时的价格预言机版本，这些节点给Mirror Protocol的LUNC价格仍为5UST。ToddGarrison表示，请修复LUNC价格预言机，因为在短时间内，所有流动性池将耗尽，Mirror将产生无法弥补的坏账，系统将自行崩溃。（The Block）[2022/5/31 3:52:16]
#2 事件相关信息
成都链安：Visor Finance遭受攻击事件分析:据成都链安监测显示，Visor Finance于北京时间2021年12月21日晚上10点18分遭受攻击。经成都链安技术团队分析，本次攻击利用了Visor Finance项目抵押挖矿合约RewardsHypervisor的两个漏洞：
1.call调用未对目标合约进行限制，攻击者可以调用任意合约，并接管了抵押挖矿合约的执行流程；<- 主要漏洞，造成本次攻击的根本原因。2.函数未做防重入攻击；<- 次要漏洞，导致了抵押凭证数量计算错误，不是本次攻击的主要利用点，不过也可凭此漏洞单独发起攻击。针对这两个问题，成都链安在此建议项目方应做好下面两方面：1.进行外部合约调用时，建议增加白名单，禁止任意的合约调用，特别是能够控制合约执行流程的关键合约调用；2.函数做好防重入，推荐使用openzeppelin的ReentrancyGuard合约。[2021/12/22 7:55:18]
攻击交易
纽约众议院共和党候选人：比特币将遭受重大抛售因投资者需要法币:纽约众议院共和党候选人David Gokhshtein发推表示，比特币将再次遭受重大抛售。投资者这样做的原因很简单，他们需要法币。（U.Today）[2020/3/31]
0x9b16b1b3bf587db1257c06bebd810b4ae364aab42510d0d2eb560c2565bbe7b4
攻击者地址
0x9dadbd8c507c6acbf1c555ff270d8d6ea855178e
攻击合约
0x6877f0d7815b0389396454c58b2118acd0abb79a
被攻击合约
0xeaDa3d1CCBBb1c6B4C40a16D34F64cb0df0225Fd
1、通过闪电贷借出670WBNB。
2、 将其分成多份分别转入到WBNB/BDO、BUSD/BDO等多个池子进行兑换，拉高BDO的价格。
3、攻击者接着借出30,516 cake用于后续攻击：调用DAO Fund合约中的claimAndReinvestFromPancakePool函数，该函数将cake兑换成400个wbnb，且触发了200WBNB兑换BDO，然而最后会调用_addLiquidity，用合约中的WBNB去添加流动性。此时由于BDO价格很高，导致添加流动性时需要使用项目方合约中大量的WBNB，相当于项目方高位接盘。
4、最后攻击者通过pancake兑换出WBNB，归还闪电贷，获利2381 WBNB。
本次攻击主要利用了DAO fund代理合约CommunityFund中claimAndReinvestFromPancakePool函数在添加流动性时的设计漏洞，未充分考虑到价格被恶意拉高后，项目方会在添加流动性时，用自己合约内的资金被动高位接盘的情况。
截止发文时，被盗资金还未被攻击者转出，仍存在攻击合约中：0x6877F0D7815b0389396454C58b2118ACD0aBB79A。
针对本次事件，成都链安技术团队建议：
1、合约在设计时应充分考虑可能遇到的攻击，尽量完善其安全设计；
2、项目上线前，建议选择专业的安全审计公司进行全面的安全审计，规避安全风险。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。