趋势分析报 BSC链上“闪电贷攻击”再...

BSC链上“闪电贷攻击”再袭 xWin Finance被薅羊毛事件简析

事件概览

北京时间6月25日,链必安-区块链安全态势感知平台(Beosin-Eagle Eye)舆情监测显示,基于币安智能链(BSC)的链上DeFi协议xWin Finance遭到“闪电贷攻击”。据统计,xWin Finance代币(XWIN)24小时跌幅达近90%。

成都链安·安全团队第一时间介入分析,针对xWin Finance被黑事件启动安全应急响应。经由分析,xWin Finance被黑事件颇具“代表性”及“典型性”,有必要针对攻击流程进行披露,以起警示作用。攻击者通过“闪电贷”套出原始资金,并重复攻击步骤,最终完成获利,成功“薅羊毛”。

事件分析

首先,攻击者利用“推荐人将获得奖励”的特殊机制,利用“闪电贷”多次添加和移除流动性,从而获得了巨量奖励,以进行获利。

下图是攻击流程的一个循环:

1. 攻击者首先利用闪电贷借来的巨量BNB并调用Subscribe,从而获得了LP以及多余的XWIN(将向推荐人发放XWIN奖励);

2. 攻击者移除流动性,并兑换多余的XWIN进行回本;

3. 反复上述操作,不断积累奖励的XWIN;

4. 最终,攻击者取出积累的XWIN奖励,全部兑换成BNB,离场。

事件复盘

看到这里,不难发现,此次xWin Finance被黑事件攻击手法并不复杂;与其说此次事件是一次“黑客攻击”,其实更像是一次“黑客薅羊毛”。

攻击者利用了xWin Finance的“奖励机制”,不断添加移除流动性,进而获取奖励。在正常情况下,由于用户的添加量不大,因此获取的收益可能会很小,甚至不足以支付手续费;但在巨量资金面前,奖励就会变得异常高了。

因此,成都链安·安全团队建议,项目方在日常的安全防护工作之中,除了要搭建起一整套健全的防范机制和风控系统以外,也应当注意核查项目自身的推广手段和奖励机制是否会存在一定漏洞,以防攻击者借机开展攻击,造成巨额损失

Latest news

日夜挖矿比特币 这家工厂把冰川湖变成了温泉

美国纽约州北部的格林尼奇(Greenidge)发电厂被阿特拉斯(Atlas)公司收购后用来“挖矿”比特币,上万台矿机日夜不停地工作,产生大量的热量。

利用过剩能源挖矿!矿商Crusoe寻求融资1亿美元...

在比特币仍然维持在3至4万美元区间震荡之际,比特币矿商并没有对比特币失去信心,并且正致力于解决比特币能耗和环保问题。

曼氏金融集团首席执行官: “加密货币” 就像郁金香...

曼氏金融集团(MAN GROUP LIMITED) 首席执行官 Luke Ellis 在周一发表的《金融时报》采访中表示,加密货币仅是"一种纯粹的交易工具"。

比特币采矿公司 Stronghold 向美 SEC...

总部位于宾夕法尼亚州的数字矿业公司StrongholdDigital Mining 周二向美国证券交易委员会(SEC)递交了 S-1 表格,提议进行 1 亿美元的IPO。
Related news

日夜挖矿比特币 这家工厂把冰川湖变成了温泉

美国纽约州北部的格林尼奇(Greenidge)发电厂被阿特拉斯(Atlas)公司收购后用来“挖矿”比特币,上万台矿机日夜不停地工作,产生大量的热量。

利用过剩能源挖矿!矿商Crusoe寻求融资1亿美元...

在比特币仍然维持在3至4万美元区间震荡之际,比特币矿商并没有对比特币失去信心,并且正致力于解决比特币能耗和环保问题。

曼氏金融集团首席执行官: “加密货币” 就像郁金香...

曼氏金融集团(MAN GROUP LIMITED) 首席执行官 Luke Ellis 在周一发表的《金融时报》采访中表示,加密货币仅是"一种纯粹的交易工具"。

比特币采矿公司 Stronghold 向美 SEC...

总部位于宾夕法尼亚州的数字矿业公司StrongholdDigital Mining 周二向美国证券交易委员会(SEC)递交了 S-1 表格,提议进行 1 亿美元的IPO。

LEAVE A REPLY

Please enter your comment!
Please enter your name here

9 + 7 =