一、事件概览
美国东部标准时间5月12日上午9:44分，链必安-区块链安全态势感知平台（Beosin-Eagle Eye）监测显示，DeFi质押和流动性策略平台xToken遭到攻击，xBNTa Bancor池以及xSNXa Balancer池立即被耗尽。据统计，此次xToken被黑事件造成约2500万美元的损失。
尽管在事件后，xToken团队第一时间发布声明，并针对被黑原因以及后续补救措施，作出积极回应；但成都链安·安全团队认为此次xToken被黑事件具备相当程度的典型性，涉及到闪电贷攻击、价格操控等黑客常用攻击套路，因此立即介入分析，将xToken被黑事件的攻击流程进行梳理，希望以此为鉴，为广大DeFi项目方敲响警钟。
二、事件分析
在本次被黑事件中，攻击者共计在同一笔交易中利用了两个典型攻击套路。
其一，黑客利用了闪电贷操作DEX中SNX的价格，进而影响了xSNX中的铸币，旨在达到套利的目的；
美国SEC高级审判顾问因即将离职而申请退出Ripple诉讼案:金色财经报道，美国证券交易委员会（SEC）高级审判顾问Dugan Bliss正在请求法院允许他退出Ripple诉讼案。在该机构工作了超过10年之后，Bliss已经确定将从SEC离职。Bliss离职后，SEC将由其余律师代表，包括Jorge G. Tenreiro、Daphna A. Waxman和Jon A. Daniels等人。诉讼过程由SEC律师Preethi Krishnamurthy监督。[2021/5/28 22:50:52]
其二，黑客利用了xBNT合约中的错误的权限配置，传入预期外的路径地址，从而达到利用空气币完成获利的目的。
接下来，我们一起来还原一下黑客是如何利用“闪电贷攻击?+ 错误权限配置”，完成了整个攻击流程的。
?? ?准备工作
1、攻击者首先利用闪电贷借出大量资金；
2、分别利用Aave的借贷功能和Sushiswap的DEX等功能，以获取大量的SNX代币；
3、再在Uniswap大量抛售SNX，进而扰乱SNX在Uniswap的价格；
?? ?攻击开始
4、使用少量的ETH获得大量的xSNX；
原理解释：
此次攻击者利用了xSNX合约支持ETH和SNX进行兑换xSNX的机制。具体而言，当用户传入ETH后，合约会将用户的ETH通过Uniswap兑换为等值的SNX之后再进行xSNX的兑换。由于攻击者在“准备工作”中的1~3的操作，此时Uniswap中的ETH对SNX的价格是被操纵的，这就使得少量的ETH能够兑换大量的SNX，进而再兑换大量的xSNX。
?? ?攻击收尾
5、攻击者在Bancor中售卖获利，由于Bancor中的价格并未受到影响，因此价格彼时仍然是正常的。此时攻击者得以套利，之后归还闪电贷；
?? ?第二次攻击开始
6、再利用获得的利润来兑换大量的xBNT。
此次攻击者利用了xBNT合约支持ETH铸币xBNT的功能，合约会将ETH在Bancor中转化为BNT后进行铸造xBNT，但需要注意的是，此铸造函数可以指定兑换路径，即不需要兑换成BNT也可进行铸造，这就使得攻击者能够任意指定兑换代币的地址。
三、事件复盘
在xToken团队的官方回应中，表达了对此次被黑事件造成的资产损失深感遗憾，并提到在未来即将推出的产品中会引入一项安全功能，以防止此类攻击。但遗憾的是，由于尚未在整个产品系列中引入这一安全功能，由此导致2500万美元资金损失。
针对xToken被黑事件，成都链安·安全团队在此提醒，随着各大DeFi项目的不断发展，整个DeFi世界将越来越多变，新型项目往往会与之前的DeFi项目在各个方面进行交互，如上文提及的Aave和DEX等等。因此，在开发新型DeFi项目之时，不光需要注意自身逻辑的安全与稳定，还要考虑到自身逻辑与利用到的基础DeFi项目的整体逻辑是否合理。
同时，我们建议，各大DeFi项目方也需要积极与第三方安全公司构建联动机制，通过开展安全合作、建立安全防护机制，做好项目的前置预防工作与日常防护工作，时刻树牢安全意识。
狂人本着负责,专注,诚恳的态度用心写每一篇分析文章,特点鲜明,不做作,不浮夸！ 本内容中的信息及数据来源于公开可获得资料,力求准确可靠,但对信息的准确性及完整性不做任何保证,本内容不构成投资建议,据此投资,责任自负。 狂人说 昨天美国公布了非农数据,就业人数增加了26.6万人,失业率6.1%,远低于预期。
金色财经 区块链5月9日讯? 尽管大多数比特币（BTC）挖矿仍位于中国,但有迹象表明如今该活动已经开始向其他地方转移。 据此前相关报道称,比特币最大矿池之一F2Pool联合创始人王纯（Chun Wang）透露,在2020年4月,中国代表的比特币算力已经不到比特币总算力的一半了。
当特斯拉CEO埃隆-马斯克批评比特币的能源消耗时,比特币价格下跌了17%,但现在比特币已经反弹。 5月13日,比特币下跌到45600美元,现在达到51000美元,已经收复了一半以上的跌幅。? 随着这一戏剧性事件的继续蔓延,Cointelegraph考虑了为什么在基本层面上,比特币最终能够抵御单个用户的行为——无论他或她有多大的影响力。
据财联社报道,支付宝已对部分用户上线数字人民币模块,并支持用户转账、收款等服务,其中,转账方式可支持「钱包编号转账」,也可支持「手机号或邮箱转账」。 进入支付宝白名单的测试用户可在支付宝 App 中「我的」一栏中看到「数字人民币」模块,与花呗、银行卡等并列。
在过往观念中,根据13年《关于防范比特币风险的通知》和17年《关于防范代币发行融资风险的公告》, 比特币等虚拟货币不由货币当局发行,不具有法偿性与强制性等货币属性, 不具有与货币等同的法律地位,不能也不应作为货币在市场上流通使用。因此,只吸收虚拟货币的虚拟货币“银行”或“投资理财平台”可逃出非法吸收公众存款罪的射程。
今年以来,数字货币发展如火如荼,虽然Facebook稳定币Libra推出屡屡受挫,监管机构对Libra的一再审慎,但美元、欧元持续货币宽松表使得加密数字货币市场热度不断上涨,以比特币、以太坊和狗狗币等为代表的加密数字货币市场在马斯科等名人关注下风浪不断,创下百倍、千倍收益的各类小额币种让更多的投资者涌入加密数字货币市场。
区块见闻