一、事件概览北京时间6月25日，链必安-区块链安全态势感知平台舆情监测显示，基于币安智能链的链上DeFi协议xWinFinance遭到“闪电贷攻击”。据统计，xWinFinance代币24小时跌幅达近90%。成都链安·安全团队第一时间介入分析，针对xWinFinance被黑事件启动安全应急响应。经由分析，xWinFinance被黑事件颇具“代表性”及“典型性”，有必要针对攻击流程进行披露，以起警示作用。攻击者通过“闪电贷”套出原始资金，并重复攻击步骤，最终完成获利，成功“薅羊毛”。
DeFi协议xWin将对受闪电贷攻击影响用户进行1:1 xWIN代币补偿:官方消息，BSC链上DeFi协议xWin公布补偿计划，将根据闪电贷攻击前协议中的质押的数量余额，对质押xWIN代币和参与xWIN挖矿的XWIN-BNB LP代币用户，进行1:1 xWIN代币补偿。但是，xWin表示正在考虑最多一年的锁定期。此外，xWin表示正在探索为xWIN协议提供保险的可能性。xWIN目前还正努力在日本以外的海外交易所上市。最后，xWin团队正在制定xWIN代币销毁计划，目前还没有就金额大小达成决定。
此前消息，BSC链上DeFi协议xWin发布闪电贷攻击总结，共计损失1007枚BNB。[2021/6/27 0:09:54]
中币将于今日10:00正式开放XWC/QC的交易:据官方公告显示，中币（ZB）将于香港时间2020年5月7日10:00开放XWC/QC的交易。WhiteCoin，中文名白币（简称XWC）是一个拥有四年历史的去中心化全球区块链。白币由一个专门的支持者团体驱动，没有一个人能独自控制。这种组合有助于确保稳定性、增长和技术发展。白币于2017年技术升级为POS3.0的加密数字货币，聚焦于网络安全，支付和通讯安全。主要开发人员由荷兰、比利时、德国、澳大利亚、中国等技术精英组成。[2020/5/7]
二、事件分析首先，攻击者利用“推荐人将获得奖励”的特殊机制，利用“闪电贷”多次添加和移除流动性，从而获得了巨量奖励，以进行获利。
比特币核心开发者Greg Maxwell已从Blockstream的CTO职位离职:Blockstream官推发消息称，该公司的CTO Greg Maxwell已经离职，称他将专注于比特币的发展。[2018/1/20]
下图是攻击流程的一个循环：攻击者首先利用闪电贷借来的巨量BNB并调用Subscribe，从而获得了LP以及多余的XWIN；
2.攻击者移除流动性，并兑换多余的XWIN进行回本；3.反复上述操作，不断积累奖励的XWIN；4.最终，攻击者取出积累的XWIN奖励，全部兑换成BNB，离场。
三、事件复盘看到这里，不难发现，此次xWinFinance被黑事件攻击手法并不复杂；与其说此次事件是一次“黑客攻击”，其实更像是一次“黑客薅羊毛”。攻击者利用了xWinFinance的“奖励机制”，不断添加移除流动性，进而获取奖励。在正常情况下，由于用户的添加量不大，因此获取的收益可能会很小，甚至不足以支付手续费；但在巨量资金面前，奖励就会变得异常高了。因此，成都链安·安全团队建议，项目方在日常的安全防护工作之中，除了要搭建起一整套健全的防范机制和风控系统以外，也应当注意核查项目自身的推广手段和奖励机制是否会存在一定漏洞，以防攻击者借机开展攻击，造成巨额损失。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。