BTC:welnance.finance 事件分析_Nether

前言

11月13日，知道创宇区块链安全实验室?监测到BSC上的DeFi协议welnance.finance遭遇闪电贷价格操控攻击。实验室第一时间对本次事件深入跟踪并进行分析。

事件分析

流程

1.攻击者从WBNB-BUSD闪电贷1,000,000BUSD

2.在pancakeSwap的USD-WEL交易对中用1,000,000BUSD换取169,882WEL

Swell集成LayerZero，支持swETH跨链:9月7日消息，以太坊质押协议Swell Network宣布集成跨链互操作性协议LayerZero，该集成将支持swETH进行跨链，转变为全链同质代币(OFT)，用户现可在Arbitrum上交易swETH及提供流动性，也将陆续支持其他Layer2协议。[2023/9/7 13:24:55]

3.发送80枚WEL到wlWEL，获取到4,056wlWEL

Yuga Labs提醒赢得TwelveFold拍卖者需提前清空接受地址:3月7日消息，Yuga Labs在推特上表示：“所有没有排在NFT系列TwelveFold前288位的有效投标都已全部退回到其接收地址。赢得铭文并在拍卖最后一个区块后增加出价的投标人应在铭文发送之前清空接收地址。在发送铭文之前，我们将从该帐户发出通知。”

此前今日早些时候消息，NFT系列TwelveFold拍卖已结束，最高出价超7 BTC。[2023/3/7 12:47:07]

4.分别从wlUSDT借8,651BUSD、wlBTC借0.06BTC、wlETH借0.7ETH

英国男子James Howells计划建造机器狗来寻找丢失的BTC的硬盘:金色财经报道，英国男子James Howells错误地丢弃了他的硬盘驱动器，其中包含 8000 BTC。据报道，为了找回丢失的财物（截至目前价值约 1.69 亿美元），这位 36 岁的男子提出了一项价值 1100 万美元的总体规划，其中涉及机器狗和人工智能驱动的机器。它们应该以不损害自然景观的方式探索该地区。根据他的计算，搜索可能需要长达三年的时间。这些机器将挖掘垃圾并准备填埋场进行探索。然后，24 小时闭路电视摄像机、机器狗和人工智能机器将日夜扫荡该地区，直到发现硬盘。任务完成后，团队将清理垃圾场并回收垃圾。[2022/7/31 2:48:58]

5.将剩余的169,802WEL兑换成999,893BUSD，并归还第一步的闪电贷

6.将借贷获取的5,994BUSD、0.7ETH、0.06BTC转入攻击者地址

原理分析

通过分析，用户在wlXXX池借贷时首先会调用?comptroller?的?borrowAllowed?方法判断借贷条件是否成立。

然后调用?comptroller?的?enterMarkets?注入wlWEL资产作为质押品进comptroller中。

在?comptroller?的?borrowAllowed?方法中，getHypotheticalAccountLiquidityInternal?方法会计算当前用户的总持仓资产价值是否大于总借贷价值

由于第2步使用巨量BUSD兑换WEL操作，导致WEL价格直线飙升，进而导致第3步的wlWEL价值飙升，攻击合约以此分别向wlBTC,wlETH，wlUSDT借款，最后卖出闪电贷部分获得的WEL，归还BUSD闪电贷离场。

总结

这次闪电贷攻击的核心原因在于对抵押物价值的计算易被操控，使得攻击者通过闪电贷的巨额资金抬高了抵押物的价格，而超额借出了Welnance的wlBTC,wlETH，wlUSDT金库的资产。

此前通过闪电贷操纵价格的攻击事件频发。知道创宇区块链安全实验室?在此提醒，任何有关资金问题的操作都需要慎重考虑，合约审计、风控措施、应急计划等都有必要切实落实。

来源：金色财经

标签：USDETHBTCBUSDOUSD币Netherbtc哪个交易平台好BUSD Buffet

火币APP热门资讯