又一經典的閃電貸套利 —— Wault.Finance 被黑事件分析

2022-01-04 慢霧科技

2021 年 08 月 04 日 10:23 AM，慢霧區情報系統捕獲到了 Wault.Finance 的 WUSDMaster 合約疑似被黑的情報，慢霧安全團隊第一時間介入分析，以下是分析的詳細內容。


事件相關方信息

攻擊者地址：0x886358f9296de461d12e791bc9ef6f5a03410c64

攻擊者合約地址 A：0xaa895873a268a387e38bd841c51d2804071197a1

攻擊者合約地址 B：0x50afa9383ea476bdf626d6fba62afd0b01c8fea1

被攻擊的項目：https://app.wault.finance/bsc/#wusd

被攻擊的項目地址：0xa79fe386b88fbee6e492eeb76ec48517d1ec759a (Wault.Finance 的 WUSDMaster 合約)

事件相關方背景

攻擊者：黑客通過創建了攻擊合約地址 A，並在合約的構造函數中發起攻擊。

被攻擊項目：WUSDMaster 是一個質押 BSC_USDT 換取 WUSD 的合約，可以通過質押 (stake) BSC_USDT 來獲得 WUSD， 通過贖回 (redeem) 將 WUSD 燃燒，然後換成 BSC_USDT，在這過程中一部分資金會轉給金庫 (Treasury)， WUSDMaster 會用 WEX 補貼給用戶。

攻擊事件的核心點

WUSDMaster 合約的 stake 函數中，會在質押的時候 1:1 兌換 BSC_USDT 和 WUSD，但是它還進行了一次 swap 操作，正是因為這個 swap 操作導致可以被黑客利用進行套利。

核心問題點：允許數量 1:1 兌換 BSC_USDT 和 WUSD 的同時，WUSDMaster 的 swap 操作會額外導致 WaultSwapPair(BSC_USDT-WEX) 的池子中的代幣失衡，從而形成套利空間。


注意：BSC_USDT 和 WUSD 也可以理解為價格上也是 1:1

攻擊事件的剖析

攻擊的交易 Txid

0x31262f15a5b82999bf8d9d0f7e58dcb1656108e6031a2797b612216a95e1670e


攻擊的合約地址

0xaa895873a268a387e38bd841c51d2804071197a1


攻擊者地址

0x886358f9296de461d12e791bc9ef6f5a03410c64


被攻擊的項目地址

0xa79fe386b88fbee6e492eeb76ec48517d1ec759a (wault.finance 的 WUSDMaster 合約)


我們可以把本次的過程分為 3 個階段：準備套利資金、構造套利空間、實施套利。


第一階段：通過閃電貸獲得初始攻擊資金


1、在 WaultSwapPair (BSC_BUSD-WUSD) 中通過閃電貸借了 16,839,004 枚 WUSD；

2、調用 WUSDMaster 合約中的贖回 (redeem) 函數，將閃電貸借到的 WUSD 燃燒掉，換成 BSC_USDT 和 WEX；

3、去 PancakePair (WBNB-BSC_USDT) 中通過閃電貸借了 40,000,000 枚BSC_USDT；

4、將借到的 23,000,000 枚 BSC_USDT 在 WaultSwapPair (BSC_USDT-WEX) 中換成了 WEX。此時攻擊者已經做好了套利的準備。

WEX 的數量：624,440,724 = 106,502,606 + 517,938,118

WEX 的來源：redeem 操作 + WaultSwapPair (BSC_USDT-WEX) 中兌換所得

第二階段：使 BSC_USDT-WEX 池子失衡形成套利空間


1、 多次 (68 次) 調用 WUSDMaster 合約中的質押(stake)函數；

2、stake 函數會執行 wswapRouter.swapExactTokensForTokensSupportingFeeOnTransferTokens 將質押一部分的 BSC_USDT 換成 WEX，這樣就會使得 WaultSwapPair (BSC_USDT-WEX) 池子的 WEX 數量減少，價值變高；

3、多次 stake 之後 BSC_USDT-WEX 池子中，BSC_USDT 數量多，WEX 數量少，形成套利空間；

4、且攻擊者每次調用 stake 都會以 1:1 的兌換方式使用 BSC_USDT 兌換 WUSD，所以攻擊者在這一步的兌換可以無損的情況下就額外的將 BSC_USDT-WEX 池子打失衡了。


第三階段：進行套利，並償還閃電貸


1、攻擊者將第一階段準備好的 WEX 在已經失衡的 BSC_USDT-WEX 池子中進行兌換，就可以換出更多的 BSC_USDT；

624,440,724 枚 WEX => 25,930,747 枚 BSC_USDT

2、攻擊者將多次 (68 次) 調用 stake 函數所得到的 WUSD 在償還閃電貸之後，剩餘 110,326 枚 WUSD 通過 WaultSwapPair (BSC_BUSD-WUSD) 換成了BSC_BUSD；

110,326 枚 WUSD => 109,284 枚 BSC_BUSD

3、將所得到的 BSC_USDT 和 BSC_BUSD 還完閃電貸後換成了 BEP_ETH。

MistTrack 分析過程

慢霧 AML 團隊分析統計，最終攻擊者獲利 370 枚 BEP_ETH，並通過 Anyswap 進行資金轉移，約損失 93 萬美元。

資金流向分析

慢霧 AML 團隊分析發現，攻擊者相關的錢包地址情況如下：

攻擊者地址：

0x886358f9296De461d12e791BC9Ef6F5a03410C64


慢霧 AML 旗下 MistTrack 反洗錢追蹤系統分析發現，攻擊者首先從 Binance 提幣，獲得初始資金，接著部署了合約。



通過三次操作，攻擊者將 ETH 兌換為 anyETH，再通過跨鏈平臺將所得 ETH 跨鏈到以太坊地址:

0x886358f9296De461d12e791BC9Ef6F5a03410C64。

值得注意的是:

1.、跨鏈後的以太坊地址：

0x886358f9296De461d12e791BC9Ef6F5a03410C64 有一筆交易轉出到了 Binance。

2、攻擊者獲利地址最初的一筆交易是來自混幣平臺 Tornado.Cash 轉入的 100 ETH。


事件梳理 (UTC)


- 1:25:07 攻擊者從 Tornado Cash 提取 100 ETH

- 1:27:09 攻擊者充幣到幣安 1 ETH

- 1:35:24 攻擊者從幣安提現 2 BNB 到 BSC

- 1:35:27 攻擊者從幣安提現 0.72213159  Binance-Peg ETH 到 BSC 

- 1:43:52 - 1:49:05 攻擊者在 BSC 上部署合約實施攻擊

截止目前，攻擊者獲利地址

0x886358f9296De461d12e791BC9Ef6F5a03410C64 共有餘額 468.99 ETH。

總結

本次攻擊事件是經典的利用閃電貸進行套利的案例，由於經濟模型上的設計缺陷導致的攻擊者可以對 WaultSwapPair (BSC_USDT-WEX) 的池子進行套利攻擊。項目方在開發之初也要關注經濟模型的設計所帶來的攻擊面，建議讓第三方專業的團隊或專家對項目在 DeFi 各種場景下的攻擊面進行推演，排查可能的攻擊面，從經濟模型和架構設計上對項目進行優化和加固。

慢霧安全團隊已經將攻擊者地址加入到 AML 系統中進行監控，並且使用了 AML 系統的聯動能力儘可能的對攻擊者資金進行封堵。

參考攻擊交易：

https://bscscan.com/tx/0x31262f15a5b82999bf8d9d0f7e58dcb1656108e6031a2797b612216a95e1670e

相關焦點

  • 知道創宇區塊鏈安全實驗室|Wault Finance 閃電貸安全事件分析
    8 月 4 日，知道創宇區塊鏈安全實驗室 監測到 BSC 鏈上的 DeFi 協議 Wault Finance 遭遇閃電貸襲擊，價值跌落近半。實驗室第一時間跟蹤本次事件並分析。WUSD-USDT 池中借出 1,683 萬 WUSD接著通過 WUSDMaster 銷毀 WUSD 獲得 1,503 萬 USDT 和 1.065 億 WEX黑客再通過閃電貸從 PancakeSwap 借出 4,000 萬 USDT，並將其中 2,300 萬 USDT 兌換為 WEX2.攻擊階段黑客向 WUSDMaster 重複的進行質押 USDT
  • Wault Finance是如何被攻擊的?
    攻擊者利用閃電貸對WEX代幣價格進行操縱，從而進行套利，本次事件攻擊者共獲利約94萬美元。攻擊合約地址：0xaa895873a268a387e38bd841c51d2804071197a10x50AFA9383EA476BDF626d6FbA62AFd0b01C8fEa1Round 1首先攻擊者使用閃電貸貸出大量的WUSD並在WUSDMaster抵押池中進行提現，從而得到15,037,230 BUSD +106,502,606
  • 黑色星期三:Popsicle 和 Wault 被擄走的 2000 多萬美元
    PeckShield「派盾」安全人員第一時間定位分析，發現在 Popsicle Finance 的安全事件中，攻擊者創建了 3 個合約，即合約 A、B、C，並在 8 個流動池中重複調用 A.deposit()、A.transfer(B)、B.collectFees()、B.transfer(C)、C.collectFees() 進行攻擊。
  • 【精品】手把手打造印鈔機-VNPY套利實戰班
    》，因應廣大學員需求， 繼續邀請量化交易系統與高頻套利專家李來佳老師擔任主講， 專門針對使用VNPY進行高頻套利交易， 幫助學員在VNPY交易系統， 實盤接口，數據， 策略， 風控各方面擊破障礙， 攀登高頻套利交易覺得高峰！
  • 無所不黑!綠營對韓採取「二個凡是」加快蔡選情「死亡交叉」
    雖然民進黨拼選舉拼到「無所不黑」，泛綠從黨、媒體到網軍全部「武裝到牙齒」，但反而將加快蔡英文選情出現死亡交叉的速度。對韓採取「二個凡是」泛綠抹黑韓國瑜已到沒有尺度的地步。從黑韓國瑜草包、落跑市長、夫人幹政、買豪宅；從黑韓家人，到黑韓粉、黑護衛隊、黑青年投票不可靠，最後連韓國瑜上廁所也要做文章。
  • 年關將至-近期黑產團夥攻擊事件分析
    事件概述：臨近2020新年春節，勒索攻擊事件數量又呈快速上漲趨勢。
  • 【掃黑除惡】重擊套路貸、保護傘 關鍵詞梳理山東掃黑除惡成績單
    這一年，山東將矛頭對準「套路貸」，堅決予以打擊懲處；這一年，山東長期盯控重點線索，綜合運用多項措施，打掉一批影響惡劣的黑惡犯罪團夥；這一年，山東深挖和徹查黨員幹部「保護傘」問題，推進掃黑除惡攻堅戰……本期透過這些關鍵詞聚焦2018，細數我們在掃黑除惡專項鬥爭中作出的努力。
  • 心中的經典(七)——洛克希德P-38「閃電」戰鬥機
    這就是曾經非常流行的日本電子遊戲《1942》截圖，該系列還有《1941》與《1943》等，相信很多模友都曾經玩過，遊戲中我們操控的飛機，就是我們今天文章中的主角：洛克希德P-38閃電戰鬥機。首先，讓我們來觀看一段震撼的紅牛P-38飛行小視頻，注意流量哦~P-38「閃電」戰鬥機是二戰時期美國洛克希德公司生產的一款雙發戰鬥機，該機具有獨特的雙尾桁和包含飛行員與武器設備的中央機身，被敵軍稱為「雙身魔鬼」
  • Blackstone(HK) Business Finance Intern已開放!
    Job DescriptionWorks closely with other offices in New York, Hong Kong, and other Asia officesAssisting the finance
  • 你說的「黑」是什麼黑?你說的「惡」是什麼惡?黃埔這本「小冊子」講明了
    什麼是「黑」？什麼是「惡」？是非法放貸、暴力討債的黑惡勢力？還是利用家庭勢力稱霸一方的「村霸」？或是……你對掃黑除惡專項鬥爭知多少？掃黑除惡的打擊對象有哪些？……為了加深小夥伴們對掃黑除惡的認知我們編印了《黃埔區掃黑除惡宣傳手冊》形象直白地告訴大家「黑」是什麼黑！「惡」是什麼惡！
  • 揭秘:印度死丘事件
    ，下面小編來給大家介紹一下印度死丘事件。死丘事件簡介丘事件是發生在四千年前發生在印度摩亨佐達羅古城的一次突發性爆炸事件，摩亨佐達羅在印度語中是死亡谷底的意思，有研究人員在考察摩亨佐達羅古城的時候，發現此地發生過多次猛烈爆炸，還發現了許多人骨架。1922年，印度考古學家第一次發現這座古城的廢墟，城中遍布骷髏，從骨架擺放的姿勢可以看出來，這些人都是突然死亡。
  • 重磅福利來襲:拍拍貸大加息,最高年化11.88%,錯過悔一年
    好了好了，夠了，你如願以償了，這次帶來的福利就是拍拍貸。這是既去年麻袋財富之後，老精帶來的第一個重磅福利，結合當下形勢分析，或許今年能提供的性價比最高的一個福利。老規矩投資之前還是先測評下平臺，按照上一篇文章「備案清退潮」生存指南判斷中的指標，我們來檢測一下拍拍貸的實力。
  • 有黑必掃 除惡務盡 無錫法院紮實推進掃黑除惡專項鬥爭
    全市法院結合無錫地區特點，將矛頭重點指向「套路貸」與黑惡勢力犯罪合流，賭博、開設賭場與黑惡勢力合流的犯罪，將組織、領導、參加黑社會性質組織罪、惡勢力犯罪集團作為打擊犯罪的重點，緊盯不放。各法院精心組織好對重點案件的審判工作。由庭長親自擔任審判長。「黑惡勢力頭目和骨幹成員是重點懲處的對象。對黑惡勢力犯罪分子緩刑的適用我們嚴格把握。」無錫中院刑一庭庭長孫煒說。
  • 深度分析6萬起數據洩露事件:事件增多規模擴大但披露減少
    威脅情報平臺提供商HackNotice分析了過去三年來6萬多份數據洩露報告，分析結果頗為令人不安，包括數據洩露事件增長速率驚人，以及官方數據洩露通知數量相對下降。在分析中，HackNotice仔細審查了2018至2020年間公開報導的67,529起數據洩露事件。報告來源如下：黑客披露的數據洩露報告（41,030），包含源自被黑公司的數據。
  • 盟軍閃電,雙身惡魔(一)——洛克希德P38戰鬥機小傳
    對於皇家空軍來講，噴火系列一直是經典中的經典；皇家海軍也有斷腿狂魔劍魚式；德國空軍萬年不死的Bf109系列一直在歐洲的上空戰鬥；德國海軍有，額……我們先跳過這個話題吧；蘇聯的達瓦裡希們的雅克系列堪稱經典；日本陸軍馬鹿有超級脆皮Ki43,；海軍馬鹿有魔法優異的A6M零式。而提到美國陸航，大部分人第一個想到的是P51野馬或者是P47肥電雷電。
  • 合拍貸投資人還在苦苦維權,站臺的郎鹹平卻在香港買了億元豪宅
    近日，合拍貸宣布停止郭虹的執行董事和法定代表人職務，並公布了資產情況，其中投資人總投資額為3.2186億元，投資人對應的總債權為3.3124億元，債權完全覆蓋投資金額，將於6月20日公布兌付方案。 但是與合拍貸關係密切的郎鹹平父子卻一直未公開回應此事，郎鹹平更是默默的掏出8700萬港元買入了香港尖沙咀河內道豪宅「名鑄」一個高層單位，這是要給自己壓壓驚嗎？
  • 轉型助貸利潤空間被壓縮 360數科盈利能力行不行?
    根據北京網際網路金融協會2019年4月2日發布的《關於助貸機構加強業務規範和風險防控的提示》對助貸的定義，助貸指的是助貸機構通過自有系統或渠道篩選目標客群，在完成自有風控流程後，將較為優質的客戶輸送給持牌金融機構、類金融機構，經持牌金融機構、類金融機構風控終審後，完成發放貸款的一種業務。一般情況下，助貸服務分為表內、表外兩種。
  • 黑船來航事件和美帝國主義的遺產
    這一事件導致了日本現代化的開始。直到今天，日本人仍然以一年一度的黑船紀念活動來紀念佩裡準將的到來。之後，黑船祭變成了紐波特的城市慶典，如今也已經30多屆了。但是歷史學家們，卻對黑船到來的歷史影響評價非常不同。黑船來到日本的時候，日本人開始意識到他們有多落後。當他們的武士用武士刀廝殺的時候，其他國家已經進化出了船隻和大炮，日本的軍力和他們的力量之間是如此懸殊。為了生存，日本需要向西方學習。
  • 臺獵雷艦案現巨額詐貸 民進黨「臺艦臺造」玩火自焚
    獵雷艦承造商慶富集團被曝涉嫌詐貸、超貸數百億元（新臺幣，下同）。冤枉錢花了，船造不出來，只換得貪腐疑雲罩頂。島內輿論評論，臺當局本不該進行軍備對抗，而應尋求兩岸穩定。　　花大錢買貪腐　　2013年，臺當局海巡機構委託島內的慶富集團製造28艘100噸巡防艇，目前已交13艘，但第14艘遲遲沒有下文。