千万美元被盗: DeFi 平台MonoX Finance被黑分析
2021 年 11 30 ,据慢雾区消息,DeFi 平台 MonoX Finance 遭遇攻击,本次攻击中约合 1820 万美元的WETH 和 1050 万美元的 MATIC 被盗,其他被盗 Token 包括 WBTC、LINK、GHST、DUCK、MIM 和 IMX,损失共计约 3100 万美元。慢雾安全团队第时间介分析,并将简要分析结果分享如下。
攻击核心本次攻击的核在于利 swap 合约中没有对池中传和传出代币是否相同作检查,以此利价格更新机制的缺陷,使得攻击者传和传出代币相同时,价格被二次计算并覆盖,导致代币价格不断被推,并以此代币换出池中的其他代币来获利。
相关信息MonoX 是种新的 DeFi 协议,使单代币设计于流动性池。这是通过将存的代币与 vCASH 稳定币组合成个虚拟交易对来实现的。其中的单代币流动性池的第个应是动做市商系统 - Monoswap,它在 2021 年 10 时推出。
攻击者地址 1:
0xecbe385f78041895c311070f344b55bfaa953258
攻击者地址2:
0x8f6a86f3ab015f4d03ddb13abb02710e6d7ab31b
攻击合约1:
0xf079d7911c13369e7fd85607970036d2883afcfd
攻击合约 2:
0x119914de3ae03256fd58b66cd6b8c6a12c70cfb2
攻击交易 1:
https://etherscan.io/tx/0x9f14d093a2349de08f02fc0fb018dadb449351d0cdb7d0738ff69cc6fef5f299
攻击交易 2:
https://polygonscan.com/tx/0x5a03b9c03eedcb9ec6e70c6841eaa4976a732d050a6218969e39483bb3004d5d
攻击细节首先攻击者调用 Monoswap.swapExactTokenForToken:
0.1 个 WETH 换出 79.986094311542621010 个 MONO。
接着攻击者利用漏洞移除池子中其他用户的流动性,并为添加攻击合约的流动性以此来获取最大的利益。
这里移除流动性处的漏洞在 Monoswap.sol 中的 471-510 行,移除池中流动性时通过 removeLiquidity 函数调用 _removeLiquidityHelper 函数,而这两个函数都未做调用者和传入的 to 参数的身份验证,所以可直接移除任意用户在池中的流动性。
移除 0x7b9aa6 的流动性,把 1670.7572297649224 个 MONO 和 6.862171986812230290 个 vCASH 转出给 0x7b9aa6;
移除 cowrie.eth 的流动性,把 152.9745213857155 个 MONO 和 0.628300423692773565 个 vCASH 转出给 cowrie.eth;
移除 0xab5167 的流动性,把 99940.7413658327 个 MONO 和 410.478879590637971405 个 vCASH 转出给 0xab5167;
为攻击合约 1 在 MONO 代币流动池创建流动性。
紧接着攻击者调55次 Monoswap.swapExactTokenForToken 以此来不断堆 MONO 的价格。
>相关《 千万美元被盗: DeFi 平台MonoX Finance被黑分析》内容:
1、 金融科技初创公司Minko获150万美元融资以扩大业务
Minko 是一家为零售店提供信贷的金融科技初创公司,在由 LC Nueva 领投的种子轮融资中筹集了 150 万美元。LetsVenture 创始人兼首席执行官 Shanti Mohan、CRED 创始人 Kunal Shah 是本轮融资的其他投资者。 Minko 计划利用该基金为其技术和销售团队招聘人...【继续阅读】
2、 不寻常!西温男或被罚5千万美元 未回应美金融欺诈指控
理财鱼小提示:不寻常!西温男或被罚5千万美元 未回应美金融欺诈指控 西温一个金融家未有对美国证券监管机构的指控作出回应,正面临近5,300万美元的罚款。 现年69岁的西温男子夏普(Frederick L. Sharp)被指控策划一项长期计划,进行涉及超过10亿美元及数百家公...【继续阅读】
3、 美联国际教育投资300万美元准备挖币,还要投入元宇宙+教育
理财鱼小提示:美联国际教育投资300万美元准备挖币,还要投入元宇宙+教育 图源:视觉中国 芥末堆文 12月22日,美联国际教育集团(METX.US)宣布,其已于2021年12月20日与行业专家达成协议,将成立一家专门从事加密货币挖掘设备的研发、生产和销售的合资企业。 根...【继续阅读】
- 上一篇:集中竞价减持股份是什么意思
- 下一篇: 引导支持企业加大科技创新投入 支持固废综合利用产业发展