被薅了 APE 空投漏洞简析

北京时间2022年3月17日,我们的系统监控到涉及APE Coin的可疑交易,根据twitter用户Will Sheehan的报告,套利机器人通过闪电贷薅羊毛,拿到6W多APE Coin(每个价值8美元)。

我们经过分析后,发现这和APE Coin的空投机制存在漏洞有关。具体来说,APE Coin决定能否空投取决于某一个用户是否持有BYAC NFT的瞬时状态,而这个瞬时状态攻击者是可以通过借入闪电贷然后redeem获得BYAC NFT来操纵的。攻击者首先通过闪电贷借入BYAC Token,然后redeem获得BYAC NFT。然后使用这一些NFT来claim空投的APE,最后将BYAC NFT mint获得BYAC Token用来返还闪电贷。我们认为这个模式同基于闪电贷的价格操纵攻击非常类似(合约通过一个资产的瞬时价格来对另外一个资产进行定价,而这个瞬时价格可以被操控)。

野村证券经济学家:现在预计美联储将在7月的会议上加息100个基点:7月14日消息,野村证券经济学家表示,我们现在预计美联储将在7月的会议上加息100个基点。(金十)[2022/7/14 2:11:27]

接下来,我们使用一个攻击交易(https://versatile.blocksecteam.com/tx/eth/0xeb8c3bebed11e2e4fcd30cbfc2fb3c55c4ca166003c7f7d319e78eaab9747098)来简述整个过程。

攻击者购买了编号1060的BYAC NFT并且转移给攻击合约。这个NFT是攻击者花了106 ETH在公开市场购买的。

富达启动工程师招聘计划以建立加密货币交易和托管服务:金色财经报道,富达(Fidelity)正在启动一项招聘计划,以招募新工程师来扩展其平台。富达的加密货币部门,即富达数字资产(Fidelity Digital Assets)计划招募多达20名工程师,以加快其加密交易和托管服务的发展。[2020/11/6 11:46:01]

攻击者通过闪电贷借入大量的BYAC Token。在这个过程中,攻击者通过redeem BYAC token获得了5个BYAC NFT(编号 7594,8214,9915,8167,4755)。

在这个过程中,攻击者使用了6个NFT来领取空投。1060是其购买,其余5个是在上一步获得。通过空投,攻击者共计获得60,564 APE tokens奖励。

攻击者需要归还借出的BYAC Token。因此它将获得BYAC NFT mint获得BYAC Token。这个过程中,他还将其自己的编号为1060 NFT也进行了mint。这是因为需要额外的BYAC Token来支付闪电贷的手续费。然后将还完手续费后的BYAC Token卖出获得14 ETH。

攻击者获得60,564 APE token,价值50W美金。其攻击成本为1060 NFT(106ETH)减去售卖BYAC Token得到的14ETH。

我们认为问题根源在于APE的空投只考虑瞬时状态(NFT是否在某一个时刻被某一个用户持有)。而这个假定是非常脆弱的,很容易被攻击者操控。如果攻击者操控状态的成本小于获得的APE空投的奖励,那么就会创造一个实际的攻击机会。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

区块博客

比特币交易所陈根:元宇宙之前 Web3先行

对于元宇宙产业的讨论如果不落到实质性的价值与意义上,反而会促使更多的商业炒作以及的商业行为发行。 不论当下对于元宇宙的概念如何热火,但这些都只是一些科幻方式的创作,对于元宇宙产业的真正发展没有实质性的价值与意义,反而会促使更多的商业炒作以及的商业行为发行。

火币下载音乐人逐渐进场 音乐类NFT将会迎来爆发吗?

音乐行业正经历着一场变革,而NFT则处于这场变革的最前沿,该领域融资捷报频传: 2021年6月,音乐版权NFT平台Opulous宣布获得650万美元融资; 8月,NFT唱片Catalog完成220万美元融资; 11月,NFT音乐平台Royal在8月的1600万美元种子轮融资后再获5500万美元的A轮融资。

MATICWeb3.0对预言机的要求:去中心化、多层加密安全性

探索去中心化预言机在保护区块链外部数据和维持稳定币价格挂钩方面的作用。 去中心化 Web3:加密真相和透明度 稳定币发行:DeFi vs. CeFi 使用去中心化的预言机进行储备审计和重新定位算法稳定币的证明 Web3 可组合性:对稳定性至关重要的预言机 从最广泛的角度定义 Web3 术语稳定币相当简单。

BTC金色观察 | NFT野蛮生长待监管

在2017年的Cryptokitties项目奠定了初始基础之后,Beeple以在2021年一季度创纪录的销售重新点燃了市场对于NFT的兴趣,紧随其后的是CryptoPunks、Board Ape Yacht等NFT项目的爆发。诸多NFT项目在短时间的涨价,点燃了市场热情。

[0:46ms0-6:840ms