RPL:XSURGE闪电贷攻击事件分析-ODAILY_rpl币是什么币

一．事件背景

8月17日，有消息爆出BSC上DeFi协议XSURGE遭到闪电贷攻击，被盗金额价值500万美金。知道创宇区块链安全实验室迅速展开分析。

二．攻击合约及交易

攻击合约地址：

0x1514AAA4dCF56c4Aa90da6a4ed19118E6800dc46

0xScope：另一地址也曾在币安宣布上线RPL之时买入5353 RPL:金色财经报道，链上数据分析平台0xScope发推称，除了此前提到的以0x5f2c开头的地址外，另一个以0xac5ca开头的地址也在币安宣布上线RPL的数秒之后买入了5353枚RPL，此后该地址将3000枚RPL转入了币安，又在1inch将剩下的2353枚RPL卖出。

稍早之前，0xScope发推称一个以0x5f2c开头的地址在币安官宣上线RPL前10分钟买入近6200枚RPL，并在币安发布公告后10分钟卖出，在20分钟内盈利5.54万美元。[2023/1/18 11:19:07]

攻击交易链接：

Axie Infinity将养殖费用由4AXS降为2AXS:8月11日消息，NFT游戏Axie Infinity基于AXS和SLP相对价值的变化，将养殖费用由4AXS降为2AXS，用于平衡Axie经济。与此同时，在过去的24小时内AXS涨幅逾50%，创下历史新高。

注，养殖费用是玩家繁殖Axies以创造新宠物时收取的费用，是Axie经济系统的核心，在此系统中玩家生产出新的Axies并消耗SLP。[2021/8/11 1:48:00]

https://bscscan.com/tx/0x7e2a6ec08464e8e0118368cb933dc64ed9ce36445ecf9c49cacb970ea78531d2

财经网站Fxstreet：机构交易量激增，CME微型比特币期货合约成交达100万份:芝商所（CME）于5月推出的微型比特币期货在头两个月的交易中获得了相当大的吸引力，为市场参与者提供了一个更具成本效益的进入渠道。芝商所（CME）高管Tim表示，这种微型合约旨在为机构、个人交易者提供另一种工具，以对冲其现货比特币价格风险，或以一种高效、成本效益高、易于获取的方式执行比特币交易策略。这些合约解决了潜在加密投资者的两个主要担忧，即进入价格高和对受监管金融产品的需求。[2021/6/28 0:11:22]

三．事件复盘

分析攻击交易，攻击者通过闪电贷借入BNB后购买surge代币，然后不断卖出再买入，最后套利离场，分析代币源代码可以发现，这次漏洞的原因是因为合约内的sell函数导致的重入漏洞。

sell函数计算完卖出代币所值BNB数量后，合约会把BNB发送给攻击合约，但是如果攻击合约此时在回退函数中又执行了purchase函数，就会导致重入的发生。

观察此次函数调用产生的影响，由于这是在sell函数中调用的purchase，所以totaslSupply还没有销毁掉sell的SurgeToken，导致totalSupply高于正常值，bnbAmount和prevBNBAmount的值会因为94%的手续费问题而有所变化，但也影响不大。

也就是说攻击者通过买入-卖出-买入的操作，以更低的代币价格获取到了更多的surge代币，值得一提的是因为sell函数中nonReentrant修饰函数的影响，攻击合约只能重复之前的操作，也说明了防重入修饰函数不能完全解决这种伪重入问题，最好的方法还是限制call函数转账调用，用更安全的transfer函数限制转账gas消耗。

四．事件总结

最近链上安全事件频繁发生，这次重入漏洞又造成了重大的经济损失，我们建议各大项目方认真审视自身代码，做好安全保障。同时官方发文称将会尽量弥补受害者被盗资金，如有最新进展，我们将会及时跟进。

标签：RPLAXSAXIBNBrpl币是什么币axs币最新利好消息2023AXIStogetherbnb可以推到的有谁

BNB热门资讯