9月12日，知道创宇区块链安全实验室监测到Avalanche上的DeFi协议?ZabuFinance项目遭受闪电贷攻击。实验室第一时间跟踪本次事件并分析。
攻击合约
攻击合约1：
0x0e65Fb2c02C72E9a2e32Cc42837df7E46219F400
攻击合约2：
0x5c9AD7b877F06e751Ee006A3F27546757BBE53Dd
漏洞合约
ZABUFarm：
0xf61b4f980a1f34b55bbf3b2ef28213efcc6248c4
参议员Elizabeth Warren敦促美国国会和SEC加强加密监管:金色财经报道，在几家加密公司申请破产保护后，美国参议员Elizabeth Warren表达了对加密货币投资的担忧，并敦促美国国会和证券交易委员会（SEC）采取行动，加强加密监管。沃伦表示，需要制定更加强有力的规则来确保消费者保护和金融稳定。[2022/7/19 2:23:39]
SPORE：
0x6e7f5c0b9f4432716bdd0a77a3601291b9d9e985
漏洞成因分析
漏洞产生原因在于Defi协议与代币协议之间的不兼容，其不兼容主要是zabuFarm合约质押功能与spore合约转账功能出现冲突，下面从双方功能实现逻辑来分析冲突。
Avalanche上Zabu Finance项目发生盗币案 ZABU币价暴跌:9月13日消息，据Zabu Finance官方推特表示，Zabu遭受攻击，可能来自孢子池（SporePool），正在调查漏洞利用和寻找解决办法。大量代币被盗。同时，据CoinGecko数据，ZABU币价暴跌，跌幅超90%，近乎归零。据悉。ZabuFinance是Avalanche上的全栈DeFi项目。[2021/9/13 23:20:45]
zabuFarm合约质押功能
zabuFarm合约质押功能由函数deposit实现
简述deposit函数实现逻辑：
智能合约先行者Nick Szabo：不要放弃去中心化:在上周四于纽约举行的会议上，Nick Szabo，1996年首次提出开发智能合约概念的密码学专家，他敦促观众不要忽视区块链最初的承诺。“我只是想强调信任最小化和去中心化的好处，”他在参与智能合同小组讨论时说， “传统的银行模式是‘我们相信自己，你为什么不相信我们？'”他继续说道，认为客户可能不信任银行，“他们甚至可能会恨你。”[2018/4/22]
1.由传参_pid获取对应矿池信息与用户信息
2.更新_pid对应矿池信息，当用户账户不为0向用户发送质押已产生奖励
3.将传参_amount数量的代币从函数调用者转移到该合约
4.更新用户添加的代币以及最新奖励状态5.触发质押事件。
spore合约转账功能
spore合约转账功能由函数_transferStandard实现(ps:_transferStandard函数是zabuFarm合约质押功能转账时调用的函数)
简述_transferStandard函数实现逻辑：
1.由传参tAmount通过_getValues函数获取五个值，分别是rAmount实际转账数量,rTransferAmount收费后转账数量,rFee实际费用,tTransferAmount初始转账数量,tFee初始费用
2.对相应账户进行实际转账代币数量更新
3.通过_reflectFee函数进行费用记录更新
由此我们可以发现?zabuFarm合约质押功能与spore合约转账功能出现冲突的本质在于deposit函数仅是对用户传入转账金额_amount?做用户账户更新记录，而不是对_transferStandard?函数在收取费用后实际转账做用户账户更新记录，导致实际收款小于账户记录，俗称亏本买卖。
简述攻击过程
1.利用攻击合约10x0e65，将WAVAX代币通过Pangolin置换成SPORE代币，并质押到ZABUFarm合约中；
2.通过攻击合约2?0x5c9A从Pangolin闪电贷借出SPORE代币，并利用SPORE代币不断在ZABUFarm?合约进行质押-提现的操作，消耗原本属于ZABUFarm合约的SPORE代币，由于ZABUFarm合约是通过SPORE?代币总量计算奖励，攻击合约10x0e65会获得巨额ZABU代币奖励；
3.最后取出质押SPORE代币，归还闪电贷，抛售ZABU代币获利。
总结
此次攻击属于defi协议与代币协议之间不兼容导致的，迄今为止此类攻击事件已发生数次，知道创宇区块链安全实验室再次提醒，近期各链上频频爆发攻击事件，合约安全愈发需要得到迫切重视，合约审计、风控措施、应急计划等都有必要切实落实。
撰文：WilliamPeaster本文编译自DeFiPulse收益耕作是人们通过向DeFi流动性池或抵押池提供流动性,即加密货币存款,从而获得被动收入的一种方式.
1900/1/1 0:00:001.前言拒绝服务(DoS)：DoS是DenialofService的简称,即拒绝服务,任何对服务的干涉,使得其可用性降低或者失去可用性均称为拒绝服务.
1900/1/1 0:00:00为帮助用户更轻松实现数字资产量化交易,Gate.io量化交易中心全面升级,改名“量化跟单”全新上线,功能及页面全面升级.
1900/1/1 0:00:00亲爱的用户：HomiEx将于2021年9月17日12:00(UTC8)上线OCT/USDT交易对.
1900/1/1 0:00:00据Dappradar等网站数据显示,各类NFT近期的成交量和流动性已有大幅下降。随着NFT热潮的消散,行业下一个热点会转向DAO吗？昨日Gitcoin创始人KevinOwocki在出席MCON2.
1900/1/1 0:00:00专业知识来源|安全网站ThreatPost整理撰稿|白泽研究院一叶知秋、秋风飒爽,我们度过了一个“有点冷”的加密Summer,在这几个月中,几乎每周都有新的黑客勒索软件的攻击.
1900/1/1 0:00:00
月亮链