本文由“Fairyproof Tech”原创，授权“金色财经”独家发布。
8月25日，BSC链上的收益聚合应用Dot.Finance受到闪电贷攻击。受本次攻击事件的影响，项目代币PINK在短时内发生暴跌，从0.77美元跌至0.5美元。
这次攻击事件中有两点值得我们注意：
一是闪电贷再次成为黑客的工具，将攻击的后果放大。
二是本次攻击与前阵子PancakeBunny受到的攻击同源。
关于“闪电贷”，我们已经在往期的文章中多次介绍：它不是攻击的元凶而只是攻击利用的手段。本文特别想强调的是第二点，也就是本次攻击与PancakeBunny的同源性。
我们在本文所说的“同源”通俗的理解就是本项目出现的漏洞与PancakeBunny一样。为什么会这样呢？原因就在于Dot Fiance是分叉自PanacakeBunny的代码，而在分叉复制的过程中，项目方或许是因为疏忽，或许是因为其它原因，并没有对代码进行详细审计，以致PancakeBunny代码中的漏洞也一并复制过来了，而没有得到修正。
独家 | 欧科云链李炼炫：基于区块链的股权交易能解决腐败孳生等问题:金色财经报道，对于“北京股权交易中心获得首批开展区块链试点建设资格对于区块链行业发展和股权交易会带来哪些影响？”记者提问，欧科云链研究院首席研究员李炼炫接受采访时表示，这对区块链行业和股权交易市场都有好处。目前传统的股权交易中存在这腐败孳生，不公开透明以及无法实时结算的风险等问题，而基于区块链技术的股权交易能较好地解决这些问题。此外，区块链技术的最大应用价值正是在清结算领域，鼓励区域性股权市场参与区块链建设，有利于推动国内区块链技术和产业创新发展，推进区块链和经济社会融合发展。[2020/7/22]
由于本次攻击与PancakeBunny具有同源性，因此我们有必要首先回顾一下PancakeBunny此前受到的攻击情况，这些攻击事件具体如下：
独家 | Bakkt期货合约数据一览:金色财经报道，Bakkt Volume Bot数据显示，4月20日，Bakkt比特币月度期货合约单日交易额为2149万美元，环比上升118%，未平仓合约量为538万美元，环比下降4%。[2020/4/21]
2021年5月20日，PancakeBunny第一次遭遇攻击
2021年5月26日，PancakeBunny第二次遭遇攻击
2021年7月17日，PancakeBunny在Polygon上的版本遭外部攻击
本次Dot Finance受到的攻击则与 PancakeBunny第二次遭受的攻击是相同的漏洞。具体地说，Dot Finance分叉复制了PancakeBunny的收益聚合部分，但没有修正其隐藏的漏洞。
独家 | Bakkt期货合约数据一览:金色财经报道，Bakkt Volume Bot数据显示，3月2日，Bakkt比特币月度期货合约单日交易额为1027万美元，环比上涨18%；未平仓合约量为939万美元，环比上涨5%。[2020/3/3]
Fairyproof Tech对本次事件的详细分析如下：
在本次攻击中，
攻击者的地址为：0xDFD78a977c08221822F6699AD933869Da6d9720C
攻击合约的地址为：0x33f9bB37d60Fa6424230e6Cf11b2d47Db424C879
被攻击的合约为“VaultPinkBNB”，其地址为：0xbfca3b1df0ae863e966b9e35b9a3a3fee2ad8b07
独家 | OK战略副总裁徐坤：央行数字货币是对现有支付体系的补充:今日，金色财经独家采访OK战略副总裁徐坤对于央行数字货币的看法，徐坤表示：支付体系是商业网络的基石，牵一发而动全身。央行数字货币需要平衡的方面有很多，既要满足高效、安全、稳定，还要注重易用性，这必然要求引入市场力量，通过竞争来优选出最可行的实施方案。
支付的基础是账户体系与媒介，央行数字货币是对现有支付体系的补充，从账户互通、媒介流通的层面上，央行数字货币的运营离不开当前正在承担支付清算功能的机构，包括商业银行、支付企业等等，具体哪些机构会参与其中、参与的深度如何，一是看技术研发能力，二是看用户运营能力。[2019/8/28]
具体在合约“VaultPinkBNB”中，出现漏洞的代码为“getReward()”函数，函数完整代码如下：
独家 | 360余云超：没有证据表明币安内网遭受了攻击:5月8日凌晨 1:15:24，币安遭受黑客攻击，损失 7000 个 BTC（约 4100 万美元）。针对此事，金色财经采访了360区块链专家余云超，他表示，根据币安公开的信息，简单来说，黑客为此次攻击准备了很久，包括探测币安的认证体系、通过各种方式获取用户的认证信息等。
余云超分析，此次黑客首先探测了币安提币的认证步骤，包括需要API密码、2fa代码（双因子认证）；之后通过各种攻击方式比如钓鱼网站，去获取用户的认证信息；等受害者信息收集到黑客认为足够的程度，也就有了我们看到的发动攻击，利用获取的认证信息，从币安的热钱包转走部分比特币。
针对网上传的比较多的“币安此次被盗很有可能是因为币安内网遭到黑客长期的APT渗透”的消息，余云超表示，从目前公开的信息来看，没有证据表明币安的内网遭受了攻击。如果黑客通过社工钓鱼等手段拿到了受害者用户的认证信息，就可以直接提币了。当然如果币安内网被黑客成功渗透，那可能产生的后果会比这次还要严重，黑客可以长期慢慢的把他们在内网能接触到的币安钱包里的比特币全部提走。
余云超认为之所以发生这样的事，除了机构的防御机制、风控可能存在的问题，本质上来说，还是用户安全意识不足，导致自己的认证信息被黑客通过攻击方式获取。
除此之外，金色财经注意到2018年7月4日，币安也曾被盗7000多比特币，余云超对此认为7000这个数字是个巧合，但是也不排除这个数字是否与机构的风控设置有关。但是即使有关，黑客也不可能实地去测试，这个还需要进一步调查。[2019/5/8]
函数中具体出现漏洞的代码片段为：
上述代码片段在计算奖励时，_minter.performanceFee(cakeBalance)传入的参数cakeBalance 是CAKE代币的余额。攻击者可以在调用getReward前将闪电贷借入的CAKE转入 VaultPinkBNB合约，导致产生非预期的performanceFee值，而_minter.mintFor()则根据这个非预期的performanceFee值增发超额的PINK奖励代币。然后攻击者将PINK在Pancake上卖出换为BNB和CAKE，一部分偿还闪电贷，剩余部分则为本次攻击的获利。
这类由项目之间的相互分叉而导致漏洞传导的事件已经不是第一次发生，我们相信未来这类漏洞还会发生。
单就本次攻击及漏洞的来源来看，Fairyproof Tech强烈建议，所有分叉自PancakeBunny或与 PancakeBunny同源的项目都应再次审查项目代码是否存在类似的漏洞，对代码进行安全审计。
如果从本次漏洞出现的模式看，所有分叉自其它项目的项目都应提高警惕。这类具有同源性质的多个项目，无论其漏洞本身隐藏得多么深，但只要发生一次、被业界公开，其它的同源项目都应该引起警示并马上着手整改。因为此类漏洞一旦被披露，理论上项目方是有足够的时间来修正问题的。只要项目方在漏洞发生的第一时间对本项目代码进行二次审计和测试，本项目受到后续攻击是完全可以避免的。
因此Fairyproof Tech再次提醒项目方，尤其是分叉自其它项目的项目方，每当同源项目受到攻击时，应立刻着手对本项目代码进行再次审计，避免项目重蹈覆辙。
关于Fairyproof Tech：
Fairyproof Tech科技有限公司是一家专注区块链生态安全的公司。Fairyproof Tech科技主要通过“代码风险检测+逻辑风险检测“的一体化综合方案服务了诸多新兴知名项目。公司成立于2021年01月，团队由一支拥有丰富智能合约编程经验及网络安全经验的团队创建。
团队成员参与发起并提交了以太坊领域的多项标准草案，包括ERC-1646、ERC-2569、ERC-2794，其中ERC-2569 被以太坊团队正式收入。
团队参与了多项以太坊项目的发起及构建，包括区块链平台、DAO组织、链上数据存储、去中心化交易所等项目， 并参与了多个项目的安全审计工作，在此基础上基于团队丰富的经验构建了完善的漏洞追踪及安全防范系统。
作者：
Fairyproof TechCEO 谭粤飞
美国弗吉尼亚理工大学(Virginia Tech, Blacksburg, VA, USA) 工业工程（Industrial Engineering） 硕士(Master)。曾任美国硅谷半导体公司 AIBT Inc（San Jose, CA, USA） 软件工程师，负责底层控制系统的开发、设备制程的程序实现、算法的设计，并负责与台积电的全面技术对接和交流。自2011至今，从事嵌入式，互联网及区块链技术的研究，深圳大学创业学院《区块链概论》课程教师，中山大学区块链与智能中心客座研究员，广东省金融创新研究会常务理事 。个人拥有4项区块链相关专利、3本出版著作。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。