ABU:Zabu Finance 闪电贷安全事件分析 -ODAILY_UFARM

前言

9月12日，知道创宇区块链安全实验室监测到Avalanche上的DeFi协议ZabuFinance项目遭受闪电贷攻击。实验室第一时间跟踪本次事件并分析。

涉及对象

攻击合约

攻击合约1：

0x0e65Fb2c02C72E9a2e32Cc42837df7E46219F400

攻击合约2：

FATF更改术语要求加密实体满足与传统金融相同的反要求:据CoinDesk消息，根据反金融行动特别工作组（FATF）周五发布的指导草案，去中心化金融（DeFi）等加密货币行业的创新领域，受到了全球监管机构的密切关注。FATF除了澄清其关于去中心化交易所（DEX）的措辞，还间接提到了越来越受欢迎的NFT。关于DeFi平台，FATF表示其标准可能不适用于底层软件或技术，但是与“DApp”有关的实体（例如所有者或运营商）现在可以被视为虚拟资产服务提供商（VASP），加密实体必须满足与传统金融相同的“反”要求。此外，CipherTrace分析称，在FATF看来，只有能够促进和恐怖主义融资的NFT才是“虚拟资产”。[2021/3/21 19:04:01]

0x5c9AD7b877F06e751Ee006A3F27546757BBE53Dd

荷兰ING银行制定协议以使加密公司满足FATF新规:荷兰银行ING Bank已经制定了一项协议，以协助金融行动特别工作组（Financial Action Task Force，FATF）对加密交易所和数字资产交易公司的旅行规则要求。该协议目前被称为旅行规则协议（Travel Rule Protocol，简称TRP），这一解决方案也得到了渣打银行（Standard Chartered Bank）、富达数字资产（Fidelity Digital Assets）和BitGo和其他一些来自加密领域的公司的支持。（Coindesk）[2020/6/23]

漏洞合约

动态 | FATF开始检查成员国执行加密货币监管标准情况:国际反跨国组织金融行动特别工作组（FATF）上周三到周五举行了中国央行条法司司长刘向民任轮值主席后首次主持的会议，会后声明称，对于如何评估各国是否为了推行加密货币监管的新要求而采取必要的步骤，“FATF现在达成一致。”声明提及：“鉴于虚拟资产行业的全球性质，各国迅速推行这些要求非常重要，尤其是理解风险并保证有效监督这个行业。”“从现在开始，评估将特别关注，各国已经在多大程度上推行了这些措施。”FATF指出，已经经历了共同评估的国家必须汇报采取行动之后的跟进过程。FATF将密切监控进展，继续积极与私营部门沟通，说明FATF对他们适用的要求。此前消息，今年6月FATF公布了最终版的反和恐怖主义融资监管指引，要求包括加密货币交易所在内的虚拟资产服务商，必须应政府要求，分享转移资金的客户信息，含姓名和账号等，给FATF的35个成员国12个月时间遵守这一指引。（Bitcoin.com）[2019/10/22]

ZABUFarm：

动态 | FATF正式规定全球加密公司必须共享客户数据:据coindesk报道，金融行动特别工作组（FATF）今日正式发布了其对37个成员国加密货币监管的建议，标题为“基于风险的虚拟资产和虚拟资产服务提供商指南”。今日公布的新标准包括一项有争议的要求，即“虚拟资产服务提供商”（VASP），包括加密货币交易所，在公司之间转移资金时，需将有关客户的信息传递给对方。[2019/6/22]

0xf61b4f980a1f34b55bbf3b2ef28213efcc6248c4

SPORE：

0x6e7f5c0b9f4432716bdd0a77a3601291b9d9e985

漏洞成因分析

漏洞产生原因在于Defi协议与代币协议之间的不兼容，其不兼容主要是zabuFarm合约质押功能与spore合约转账功能出现冲突，下面从双方功能实现逻辑来分析冲突。

zabuFarm合约质押功能

zabuFarm合约质押功能由函数deposit实现

简述deposit函数实现逻辑：

1.由传参_pid获取对应矿池信息与用户信息

2.更新_pid对应矿池信息，当用户账户不为0向用户发送质押已产生奖励

3.将传参_amount数量的代币从函数调用者转移到该合约

4.更新用户添加的代币以及最新奖励状态5.触发质押事件。

spore合约转账功能

spore合约转账功能由函数_transferStandard实现(ps:_transferStandard函数是zabuFarm合约质押功能转账时调用的函数)

简述_transferStandard函数实现逻辑：

1.由传参tAmount通过_getValues函数获取五个值，分别是rAmount实际转账数量,rTransferAmount收费后转账数量,rFee实际费用,tTransferAmount初始转账数量,tFee初始费用

2.对相应账户进行实际转账代币数量更新

3.通过_reflectFee函数进行费用记录更新

由此我们可以发现\nzabuFarm合约质押功能与spore合约转账功能出现冲突的本质在于deposit函数仅是对用户传入转账金额_amount\n做用户账户更新记录，而不是对_transferStandard\n函数在收取费用后实际转账做用户账户更新记录，导致实际收款小于账户记录，俗称亏本买卖。

简述攻击过程

1.利用攻击合约10x0e65，将WAVAX代币通过Pangolin置换成SPORE代币，并质押到ZABUFarm合约中；

2.通过攻击合约2\n0x5c9A从Pangolin闪电贷借出SPORE代币，并利用SPORE代币不断在ZABUFarm\n合约进行质押-提现的操作，消耗原本属于ZABUFarm合约的SPORE代币，由于ZABUFarm合约是通过SPORE\n代币总量计算奖励，攻击合约10x0e65会获得巨额ZABU代币奖励；

3.最后取出质押SPORE代币，归还闪电贷，抛售ZABU代币获利。

总结

此次攻击属于defi协议与代币协议之间不兼容导致的，迄今为止此类攻击事件已发生数次，知道创宇区块链安全实验室再次提醒，近期各链上频频爆发攻击事件，合约安全愈发需要得到迫切重视，合约审计、风控措施、应急计划等都有必要切实落实。

标签：ABUSPOREARMUFARMADABULL币spore币最新消息swarm币走

USDC热门资讯