首页 科技内容详情
新2最新网址(www.22223388.com):“不能思议” 的被黑之旅: Impossible Finance 被黑剖析

新2最新网址(www.22223388.com):“不能思议” 的被黑之旅: Impossible Finance 被黑剖析

分类:科技

网址:

反馈错误: 联络客服

点击直达

Filecoin挖矿

www.ipfs8.vip)是FiLecoin致力服务于使用FiLecoin存储和检索数据的官方权威平台。IPFS官网实时更新FiLecoin(FIL)行情、当前FiLecoin(FIL)矿池、FiLecoin(FIL)收益数据、各类FiLecoin(FIL)矿机出售信息。并开放FiLecoin(FIL)交易所、IPFS云矿机、IPFS矿机出售、租用、招商等业务。

,

据慢雾区新闻,币安智能链 (BSC) DeFi 项目 Impossible Finance 遭遇闪电贷攻击。慢雾平安团队第一时间介入剖析,并将效果分享如下:

攻击细节剖析

Impossible Finance 的 DEX 架构参考了 Uniswap v2,但在 Pair 的实现上有所差异。Impossible Pair 划分实现了 cheapSwap 与 swap 两个接口。cheapSwap 函数限制了只由 Router 合约可举行挪用,swap 函数则是随便用户都可挪用举行代币兑换操作。本次攻击事宜的基本缘故原由正是出在这种特殊的代币兑换架构上,接下来我们对此次攻击举行详细剖析:

首先攻击者行使闪电贷从 PancakeSwap 中借出大量 WBNB,并最终将其兑换成 IF (Impossible Finance 代币) 。

随后攻击者确立了一个由自己控制的代币 AAA (BBB),并与上一步骤中获得的 IF 代币添加流动性。

之后攻击者通过 Router 传入自定的兑换路径 (AAA -> IF -> BUSD) 将 AAA 代币兑换成 BUSD 代币,而问题正是泛起在此兑换历程中。通过链上纪录我们可以很容易的发现攻击者在将 AAA 代币兑换成 IF 代币的历程中举行了两次兑换操作:

为什么在一次兑换历程中会举行两次兑换操作呢?

通过剖析详细的内部挪用流程我们可以发现,攻击者在 Router 合约挪用 AAA 合约的 transferFrom 函数将 AAA 代币转入 Pair 合约的历程中,同时挪用了一次 Pair 合约的 swap 函数 (即在 transferFrom 函数实现了正常转账与 swap 挪用的逻辑)。然后再通过项目设计预期的 cheapSwap 再举行一次正常的代币兑换操作。

新2最新网址

www.22223388.com)实时更新发布最新最快最有效的新2网址和新2最新网址,包括新2手机网址,新2备用网址,皇冠最新网址,新2足球网址,新2网址大全。

通过以上剖析我们可以知道攻击者在一次代币兑换历程中划分通过挪用 swap 函数与 cheapSwap 函数举行两次代币兑换操作,最终收到了分外的 BUSD 代币。那么既然是举行兑换操作,理论上每次兑换操作都将导致 K 值的转变,最终使得用户无法获得预期的代币。

但通过剖析 Impossible Pair 的 swap 函数与 cheapSwap 函数的详细逻辑,我们发现一个惊人的情形:在 swap 函数中举行了 K 值检查,而在 cheapSwap 函数却未举行 K 值检查而直接举行了 update 操作。这就导致了攻击者举行了多次兑换操作获得了分外的 BUSD。

攻击流程

1、攻击者先通过 PancakeSwap 闪电贷借出 WBNB,并将 WBNB 兑换成 IF 代币。

2、确立恶意的代币合约 AAA(BBB),并在 Impossible 中添加了 AAA 代币与 IF 代币流动性。

3、通过 AAA -> IF -> BUSD 路径举行 AAA 代币到 BUSD 代币的兑换,并在 AAA 代币转入 Pair 合约兑换成 IF 代币的历程中举行了一次 IF 代币与 BUSD 的兑换操作,随后再举行正常的 cheapSwap 操作。最终获得了分外的 BUSD 代币。

4、之后重复以上操作举行赚钱。

总结

本次攻击的焦点在于 cheapSwap 函数中未举行 K 值检查,导致攻击者可以通过在一次兑换历程中举行多次兑换操作以获得分外的代币。慢雾平安团队建议 DeFi 协议在参考其他项目的基础上举行创新的历程中应该充实的对其新的模子举行检检验证以阻止此类平安事故的发生。

参考生意:

  • usdt跑分(www.usdt8.vip) @回复Ta

    2021-09-13 00:04:10 

    www.zq68.vip)是国内最‘zui’权威的足球(qiu)赛事 shi[报道〖dao〗、预《yu》测平台。免费提供赛事「shi」直播『bo』,免费足《zu》球贴士《shi》,免费足球推介,免费专家贴《tie》士,免费足球推荐,最专业的足球心水网。我也觉得很精彩呀

发布评论