北京时间 6 月 23 日，PeckShield「派盾」预警显示，BSC 链上收益聚合器 Eleven Finance 中与 Nerve 相关的机池遭到闪电贷攻击。
PeckShield 「派盾」通过追踪和分析发现，此次攻击源于 Eleven Finance 的 Emergencyburn() 计算余额错误，且未执行销毁机制，攻击者获利近 460 万美元。
有趣的是，几个小时后，昨天刚从 Impossible Finance 薅得近 50 万美元的攻击者，利用 Eleven Finance 的漏洞，通过闪电贷攻击获利近 52 万美元。
声音 | 江卓尔：Core企图增发BTC是因为增发是锁死1M后唯一符合逻辑的选择:比特币1MB区块的主要倡导者Peter Todd称，2100万比特币的供应上限实际上是一种“宗教式信仰”。任何有经济意识的人都知道我们确实有很高的通货膨胀率，不过这样也不错，而且0％和0.5％之间的差异听起来微不足道。对此，江卓尔发文称，Core企图增发（超过2100万）BTC是因为增发是锁死1M后唯一符合逻辑的选择。Peter Todd认为0.5%的通胀率和0%几乎一样，0.5% * 2100万总量=年产量10.5万BTC=每区块产量2BTC。2020年5月减半后每区块产量6.25BTC，2024年3.125BTC，也就是说Core希望2024年（最多2028年）之后就停止减半。所以这轮减半牛市还在。（trustnodes）[2020/2/25]
第一个攻击者创建了 4 个合约，进行了 5 次攻击。
声音 | 刘昌用：澳本聪说自己是中本聪 一些基本的逻辑讲不通:知密大学发起人刘昌用发微博总结澳本聪是子的简单逻辑，澳本聪（CSW）说自己是中本聪，一些基本的逻辑讲不通： 1. 中本聪害怕身份泄露选择维基解密事件后隐退，CSW绞尽脑汁向公众证明自己是中本聪； 2. CSW自称中本聪，却说拿出早期私钥签名非常危险，而让公众确信自己是中本聪跟公布私钥签名是同等危险的； 3. 中本聪在密码朋克邮件列表中发布比特币白皮书，意图替代法币，削弱政府权力，隐退也是担心政府危害，而CSW申请专利、起诉质疑者、批评密码朋克精神、自称国安有人，更像政府雇员。 这几个逻辑不讲清楚，编再多故事，伪造再多证据，都不了明白人。[2019/4/19]
PeckShield 以合约 0x8b29 为例简述攻击过程：
声音 | 田颖：OK资本现阶段三大投资逻辑与理念:近日， OK资本创始合伙人田颖在接受采访表示， OK投资区块链创业项目现阶段的一条标准是只投看得懂的项目；其次，盈利并不作为首要的目的，投资是为了更好的学习市场规则。第三，我们是围绕着技术生产力去投，只有底层基础设施健康了，行业产生大规模的落地应用才能诞生。[2018/8/13]
首先，攻击者从 PancakeSwap 中借出 953,869.6 BUSD，并将其中 340,631.2 BUSD 兑换 474,387.75 NRV；
随后，攻击者将 474,378.75 Nerve 和 366,962 BUSD 在 PancakeSwap 中添加流动性，获得 411,515.3 LP token；
攻击者将 411,515.3 LP token 放入 Eleven Finance 中与Nerve 相关的机池获得 411,515.3 11 nrvbusd LP token；
当攻击者提取 Pancake LP token 时，ElevenNeverSellVault 中的 Emergencyburn() 函数本应销毁 11 nrvbusd LP token 换回 Pancake LP token，但 Emergencyburn() 并未执行 burn （销毁）这个动作，使得攻击者利用此逻辑错误获利。
该攻击者又创建了 0x01ea 合约，借出 30.9 BTCB；0xc0ef 合约借出 285.66 ETH 以及 0x87E9 借出两笔闪电贷 2,411,889.87 BUSD 和 7,693 BUSD 进行攻击。
攻击者通过利用集成的第三方合约功能进行攻击，这类问题较难检测到，例如，此前PeckShield「派盾」帮助 Rari Capital 避免更大损失案例一样，在定位漏洞根源时，由于合约交互容易干扰安全人员的判断，PeckShield「派盾」建议，开发人员应谨慎与任意第三方协议进行交互。
DeFi 协议开发人员在集成第三方协议并将其部署到生产运行之前，应充分了解合约及其分支项目的运行情况。DeFi 协议开发人员应在项目上线前，先将其部署在测试网上进行测试并及时检查交易记录中的异常情况。
“太快了，攻击者从合约部署，到完成攻击，甚至到再次发起攻击，这一系列操作有时候快得让人有些反应不过来。”PeckShield「派盾」安全人员表示，“因此，事前审计，事中响应，事后提出及时有效的安全方案都是缺一不可的，谁都不知道攻击者会不会在下一秒发起攻击。”
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。