2023年4月28日，据Beosin-EagleEye态势感知平台消息，0vixProtocol项目遭受闪电贷攻击，损失约为200万美元。0VIX在Twitter上证实了此次攻击，并表示“正在调查当前情况”。
Beosin安全团队第一时间对事件进行了分析，结果如下。
数据：加密经济在8个月内损失2万亿美元:金色财经报道，在过去的八个月中，自2021年11月10日以来，比特币已下跌69%，当时该数字货币的价值达到6.9万美元。在撰写本文时，整个加密经济在过去八个月损失超过2万亿美元后变为9836.5亿美元。排名前十的主要加密资产（稳定币除外）的美元价值均下跌超过65%或更多。（news.bitcoin）[2022/7/11 2:04:34]
事件相关信息
攻击交易
0x10f2c28f5d6cd8d7b56210b4d5e0cece27e45a30808cd3d3443c05d4275bb008
攻击者地址
0x702ef63881b5241ffb412199547bcd0c6910a970
中国香港今年上半年加密货币罪案增长1.3倍，合共损失2.14亿港元:中国香港今年上半年接获近五百宗涉及加密货币的罪案，比去年同期增逾一倍。 今年首六个月接获496宗与加密货币有关的罪案，比去年同期的208宗增逾1.3倍，合共损失2.14亿港元，比去年同期3700万港元大增超过4.7倍，受害人年龄由14岁至72岁不等。（星岛日报）[2021/8/2 1:28:54]
攻击合约
0x407feaec31c16b19f24a8a8846ab4939ed7d7d57
被攻击合约
0x738fe8a918d5e43b705fc5127450e2300f7b08ab
攻击流程
Cover Protocol疑似因奖励合同漏洞损失200万美元:推特网友DeFi LATAM今日表示，由于奖励合同中的一个漏洞，CoverProtocol损失了200万美元。此外，链上数据显示，已有攻击者（0xf05Ca...943DF）利用Cover合约共增发了约1万枚COVER，并且已将其换成了WBTC和DAI等资产。[2020/12/28 15:54:34]
1.第一步，攻击者通过闪电贷借出大量的资金，为后面的攻击做准备。
2.第二步，攻击者铸造凭证币，已允许借出其他资产。
声音 | Gate.io因ETC遭51%攻击损失20万美元:据coindesk报道，加密货币交易所Gate.io周二表示，因ETC遭51%攻击损失大约4万枚ETC，价值约20万美元。[2019/1/10]
3.第三步，攻击者向vGHST地址转入1656000枚GHSTToken。
4.后续清算黑客的借贷头寸，清算借入的头寸用于取回原始抵押品。
5.最后攻击者偿还闪电贷。
漏洞分析
本次攻击黑客利用了VGHSTOracle预言机漏洞，因为VGHSTOracle预言机获取的价格是通过vGHST合约的convertVGHST函数去获取的，而convertVGHST函数中的计算依靠于合约中的GHSTToken数量。
在操控价格前ghst为1038332409246369136，如下图：
攻击者向vGHST地址转入1656000枚GHSTToken后，ghst为1785061331510841538，如下图：
由于抬高了价格，已至于黑客可以清算借入的头寸用于取回原始抵押品。
资金追踪
截止发文时，攻击者通过跨链协议从matic转移到以太坊上，目前被盗资金存放在：
https://etherscan.io/address/0x702Ef63881B5241ffB412199547bcd0c6910A970。BeosinKYT反分析平台正在对被盗资金进行监控。
总结
针对本次事件，Beosin安全团队建议：合约开发时，因避免预言机被操控，建议使用更加安全的预言机来预言价格。项目上线前，建议选择专业的安全审计公司进行全面的安全审计，规避安全风险。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。