ANC:Dot Finance闪电贷安全事件分析-ODAILY_NCE

前言

8月25日，知道创宇区块链安全实验室监测到BSC链上的DeFi协议DotFinance遭遇闪电贷袭击，价值跌落近35%。实验室第一时间跟踪本次事件并分析。

涉及对象

黑客地址：

0xDFD78a977c08221822F6699AD933869Da6d9720C

波卡周报：Polkadot 0.8.28已发布，升级优先级是LOW:2月7日，波卡中国社区PolkaWorld发布波卡周报，主要内容包括：

1. 波卡的第14号公投建议强制阻止向一个（子）账户转账DOT，又一次被社区投了反对的票；

2. 将Polkadot runtime升级到v27的15号公投已经通过，并在2月2日执行了升级。

3. Polkadot 0.8.28已经发布，升级优先级是LOW。

4. 波卡的第16号公投的提案是将验证人的插槽增加到599个。该提案目前是失败的状态，不过还需要进行24天的投票期。

5. 还有一个由理事会发起的单独的motion，希望逐步将验证人的数量增加到397个（每个era增加一个新的验证人）。该motion目前已经被理事会投票通过，接下来也会进行全民投票。[2021/2/7 19:07:10]

攻击合约地址：

OKEx开通DOT杠杆交易和余币宝:据OKEx官方公告显示，OKEx将于香港时间2020年7月20日15:00 开通余币宝和DOT/USDT杠杆交易服务。余币宝额度、杠杆梯度档位设计请移至官网查看。

据了解，OKEx现已支持 DOT 认领功能，未完成波卡 DOT 映射的持币者可以通OKEx平台一键完成 DOT 主网代币认领。[2020/7/20]

0x33f9bB37d60Fa6424230e6Cf11b2d47Db424C879

受害合约地址：

0x16fd050f05f8fc361cf9083aa3f624a2bf7e914d0xbfca3b1df0ae863e966b9e35b9a3a3fee2ad8b07

声音 | Polkadot创始人：计划年底上线主网 将进行第二次代币融资:以太坊联合创始人Polkadot（波卡）创始人Gavin Wood近日接受采访时表示，在面对大家非常关心的主网上线问题，Gavin Wood透露，现在的目标仍是在今年年底前推出。团队希望在今年7月接近完成功能完整性，然后进行全面的审计，在第三方审计专家认为可以发布后，才会正式发布Polkadot主网。在主网发布前3个月，Polkadot将会进行第二次代币融资，发售剩余的20%代币，具体的形式还在研究考虑中，不过IEO也存在一定可能。[2019/4/16]

攻击涉及主要函数分析

分析交易哈希

0x68170a309ab2e944e178ccf9bf6f19e25a3f356031ce53539bb9669fc77172f2

swap函数

1.整个交易都始于PancakePairswap函数

2.为攻击提供资金支持

getreward函数

1.使用balanceOf(address(this))获取CAKE代币余额

2.通过CAKE代币余额来铸造奖励

简要过程及原理分析

1.黑客使用PancakeSwap闪电贷获得初始资金100Cake代币；

2.通过将Cake代币打入VaultPinkBNB合约，来影响getReward函数获取合约Cake代币真实值，同时performanceFee参数受Cake代币真实值影响数值巨大；

3.最后mintFor函数使用受影响的performanceFee参数向黑客铸造大量pink代币奖励；

总结

此次攻击属于PancakeBunny同类型的攻击事件，迄今为止此类攻击事件已发生多次，知道创宇区块链安全实验室再次提醒，近期BSC链上频频爆发攻击事件，合约安全愈发需要得到迫切重视，合约审计、风控措施、应急计划等都有必要切实落实。

标签：CAKEANCNCEFORBCAKE价格Extend FinanceXENO Governance TokenFortuna

LTC热门资讯