北京时间 2022 年 4 月 30 日，知道创宇区块链安全实验室 监测到 BSC 链上的 bDollar 项目遭到价格操纵攻击，导致损失约 73 万美元。
知道创宇区块链安全实验室 第一时间跟踪本次事件并分析。
攻击者地址：0x9dadbd8c507c6acbf1c555ff270d8d6ea855178e
攻击合约：0x6877f0d7815b0389396454c58b2118acd0abb79a
Starknet已通过在主网启动Alpha v0.12.0版本的提案，预计周三进行升级:7月11日消息，Starknet已通过在主网启动Alpha v0.12.0版本的提案，支持率为97.91%，预计新版本的升级将于周三进行。
此前消息，Starknet已在Goerli测试网上线Starknet Alpha v0.12，新版本旨在使用Rust blockifier和LambdaClass的Cairo VM来加快排序器处理事务的时间。[2023/7/11 10:47:36]
tx：0x9b16b1b3bf587db1257c06bebd810b4ae364aab42510d0d2eb560c2565bbe7b4
Valkyrie再次向美SEC提交比特币现货ETF申请:金色财经报道，加密货币基金公司Valkyrie 于6月21日向美国证券交易委员会提交了一份比特币现货 ETF的 S-1 登记表?。该公司在其中表示，它将寻求在纳斯达克上市其基金，代码为 BRRR。[2023/6/22 21:53:37]
CommunityFund 合约：0xEca7fC4c554086198dEEbCaff6C90D368dC327e0
漏洞关键在于 CommunityFund 合约中的 claimAndReinvestFromPancakePool 方法在使用 Cake 代币进行代币转换时，会对换取的 WBNB 数量进行判断并且会自动把换取的 WBNB 的一半换为 BDO 代币；而之后合约会自动使用合约中的 WBNB 为池子添加流动性，若此时 BDO 代币的价值被恶意抬高，这将导致项目方使用更多的 WBNB 来为池子添加流动性。
Web3收藏平台Collectibles.com宣布完成500万美元种子轮融资:金色财经报道，Web3收藏平台Collectibles.com宣布完成500万美元种子轮融资，Blockchange Ventures领投。GFR Fund、Peter Thiel、Blockwall Capital、私人投资者和行业顾问参投。Collectibles.com正在建立第一个Web3收藏家社区和市场。[2023/6/13 21:34:27]
而最为关键的是，攻击者实施攻击前，在 WBNB/BDO、Cake/BDO、BUSD/BDO 池子中换取了大量 BDO 代币导致 BDO 价格被抬高。
9GAG CEO：为推动更多人拥抱Web3，需提升用户体验:1月8日消息，9GAG CEO 陈展程在其社交平台表示，为推动更多人拥抱 Web3 并解锁所有权经济，我们不应该过度保护并假设任何合法的公司和品牌。项目方必须改善用户体验。但最大的问题是所有不成熟的判断、信息偏差和不切实际的期望。
此前报道，1月5日，知名搞笑社区 9GAG 旗下的 NFT 项目 Memeland 开启铸造新 NFT 系列 CaptainZ，该系列在开启铸造后的短短 11 分钟就收到超 9999 笔存款，团队收入超 9800 ETH。[2023/1/9 11:01:35]
在我们对攻击交易进行多次分析之后，发现事情并没有那么简单，该次攻击极有可能是被抢跑机器人抢跑交易了，依据如下：
1、该笔攻击交易比 BSC 链上普通交易 Gas 费高很多，BSC 链上普通交易默认 Gas 费为 5Gwei，而该笔交易竟高达 2000Gwei。
2、我们发现该攻击合约与攻击者地址存在多笔抢跑交；
3、我们在相同区块内找寻到了真实攻击者的地址与交易，该交易被回滚了。
1、攻击者使用闪电贷贷款 670 枚 WBNB；
2、之后攻击者将 WBNB 在各个池子中换取大量 BDO 代币；
3、随后攻击者再次使用闪电贷贷款 30516 枚 Cake 代币；
4、将贷款的 Cake 代币进行 swap，换取 400WBNB，其中 200 枚被协议自动换取为 BDO 代币；
5、攻击者将 WBNB 换取 Cake 代币用于归还闪电贷；
6、最后，攻击者将升值后的 3,228,234 枚 BDO 代币换取 3020 枚WBNB，还款闪电贷 671 枚，成功套利 2381 枚 WBNB 价值约 73 万美元。
本次攻击事件核心是合约会为流动性池自动补充流动性，而未考虑代币价格是否失衡的情况，从而导致项目方可能在价格高位对流动性进行补充，出现高价接盘的情况。
建议项目方在编写项目时多加注意函数的逻辑实现，对可能遇到的多种攻击情况进行考虑。
在此提醒项目方发布项目后一定要将私钥严密保管，谨防网络钓鱼，另外，近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。