YFV是基于以太坊的一个DeFi项目，今天早些时候，YFV官方发文称遭到勒索。攻击者利用staking的合约漏洞，可以任意重置用户锁定的YFV。
并表示，此次事件可能和不久前的“pool0”事件相关，勒索者极有可能是在“pool0”事件中未取回资金的“愤怒的农民”。?
漏洞分析
成都链安：fomo-dao项目遭受攻击，攻击者获利11万美元，目前已转至Tornado.cash:金色财经消息，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，fomo-dao项目遭受攻击。攻击者地址:
0xbb8bd674e4b2ea3ab7f068803f68f6c911b78c0a
攻击交易bsc：0xbbccd687a00bef0c305b8ebb1db4c40460894f75cdaebd306a2f62e0c86b7ba5
攻击合约:0xe62b2dfc54972354fac2511d8103c23883c746c4
目前攻击者获利11万美元，已经转至Tornado.cash[2022/6/4 4:01:44]
合约存在一个stakeOnBehalf函数使得攻击者可以为任意用户进行抵押，如下图所示：
成都链安：WienerDogeToken遭遇闪电贷攻击事件分析:据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，WienerDogeToken遭受闪电贷攻击。成都链安安全团队对此事件进行了简要分析，分析结果如下：攻击者通过闪电贷借贷了2900个BNB，从WDOGE和BNB的交易对交换了5,974,259,851,654个WDOGE代币，然后将4,979,446,261,701个代币重新转入了交易对。这时攻击者再调用skim函数，将交易对中多余的WDOGE代币重新提取出来，由于代币的通缩性质，在交易对向攻击地址转账的过程中同时burn掉了199,177,850,468个代币。这时交易对的k值已经被破坏，攻击者利用剩下WDOGE代币将交易对内的2,978个BNB成功swap出来，并且将获利的78个BNB转到了获利地址。
这次攻击事件中，攻击者利用了代币的通缩性质，让交易对在skim的过程中burn掉了一部分交易对代币，破坏了k值的计算。成都链安安全团队建议项目上线前最好进行安全审计，通缩代币在与交易对的交互时尽量将交易对加入手续费例外。[2022/4/26 5:11:33]
此函数中的lastStakeTimes=block.timestamp;语句会更新用户地址映射的laseStakeTimes。而用户取出抵押所用的函数中又存在验证，要求用户取出时间必须大于lastStakeTimes72小时。如下图所示：
动态 | 成都链安再获联想创投、复星高科领投多轮数千万元融资:区块链安全公司成都链安科技有限公司继2018年5月分布式资本种子轮投资，2018年11月界石资本、盘古创富天使轮投资后，近期连获多轮融资，共计数千万人民币，由联想创投、复星高科领投，成创投、任子行战略投资，分布式资本、界石资本、盘古创富等老股东均跟投。
此次融资将用于持续深化区块链全生态安全布局、研发“一站式”区块链安全服务平台、开展自主可控的区块链安全技术研究、提升用户全新体验及全球化市场的拓展，助力成都链安成为全球区块链安全领域的行业标杆。在当前区块链新时代风口下，一方面成都链安将利用“一站式”区块链安全平台和服务，协助相关企业做好安全防护工作，提升安全防护能力，减少安全损失；另一方面将继续大力协助政府监管机构做好调查取证等工作，以切实加强安全监管；同时多为行业发展发出正能量的声音，带头建立起有序的行业规范，并促进安全标准建设。[2020/1/16]
UnfrozenStakeTime如下图所示：
综上所述，恶意用户可以向正常用户抵押小额的资金，从而锁定正常用户的资金。
根据链上信息，我们找到了两笔疑似攻击的交易，如下所示：
0xf8e155b3cb70c91c70963daaaf5041dee40877b3ce80e0cbd3abfc267da03fc9
0x8ae5e5b4f5a026bc27685f2b8cbf94e9e2c572f4905fcff1e263df24252965db
其中一笔如下图所示：
此两笔交易都来自同一地址，且均为极小值。由此我们可以基本判定这是一个测试锁死问题的交易。
总结
针对于本次事件，究其根本原因，还是没有做好上线前的代码审计工作。本次事件实际上是属于业务层面上的漏洞。
根据成都链安在代码审计方面的经验，个别项目方在进行代码审计时，未提供完整的项目相关资料，使得代码审计无法发现一些业务漏洞，导致上线后损失惨重。
成都链安·安全实验室在此提醒各项目方：安全是发展的基石，做好代码审计是上线的前提条件。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。