据慢雾区消息，BSC上的EGDFinance项目遭受黑客攻击，导致其池子中资金被非预期的取出。慢雾安全团队对此进行了分析，称本次事件是因为EGDFinance的合约获取奖励时计算奖励的喂价机制过于简单,导致代币价格被闪电贷操控从而获利。具体分析如下：
安全团队：BSC上的ORT)项?遭受攻击:1月17日消息，据Fairyproof监测，BSC上的 OMNI Real Estate Token (ORT) 项?遭受攻击，攻击原因疑似为合约代码有漏洞。
攻击者地址为：0x9BbD94506398a1459F0Cd3B2638512627390255e，其中?个攻击合约为
0x0eFfECA3dBCBcda4d5e4515829b0d42181700606，攻击初始gas来源 FixedFloat热钱包，攻击者获利超过236个BNB，价值约70705美元。
漏洞合约为项?的 StakingPool合约，在 _Check_reward 函数中，当 durations 为0时，条件判断没有覆盖，会返回?个上次的全局变量值（预期外的值），造成奖励计算错误。
攻击者调?invest函数时， end_date 输?为0，此时合约未验证?户输?，因此合约可以继续运?， duration[msg.sender] = 0 ,?在 _Check_reward 函数中也未验证 durations 的值，并且在 _Check_reward 函数中使?了全局变量来参与计算，多重因素造成了?错误的奖励值。[2023/1/17 11:15:57]
1.由于EGDFinance合约中获取奖励的claimAllReward函数在计算奖励时会调用getEGDPrice函数来进行计算EGD的价格,而getEGDPrice函数在计算时仅通过pair里的EGD和USDT的余额进行相除来计算EGD的价格。2.攻击者利用这个点先闪电贷借出池子里大量的USDT,使得EGD代币的价格通过计算后变的很小,因此在调用claimAllReward函数获取奖励的时候会导致奖励被计算的更多,从而导致池子中的EGD代币被非预期取出。
安全团队：2000万枚USDT从币安转移至“0x02ed”开头鲸鱼地址:金色财经报道，据派盾监测数据显示，2000万枚USDT已经从Binance转入“0x02ed”开头鲸鱼地址并存入Aave Protocol V2中。[2022/12/6 21:25:18]
此外，据派盾预警监测，此次攻击事件中已有3.6万BUSD被盗。
安全团队：Psychedelic NFT的discord遭受攻击:4月12日消息，BlockSec告警系统于4月12日下午13点50分发现Psychedelic NFT的discord遭受攻击，请不要点击最新的公告中的链接，项目方正在进行抢救。[2022/4/12 14:19:50]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。