welnance.finance 事件分析_USD:trustwallet錢包下載

前言

11月13日，知道創宇區塊鏈安全實驗室?監測到BSC上的DeFi協議welnance.finance遭遇閃電貸價格操控攻擊。實驗室第一時間對本次事件深入跟蹤并進行分析。

事件分析

流程

1.攻擊者從WBNB-BUSD閃電貸1,000,000BUSD

2.在pancakeSwap的USD-WEL交易對中用1,000,000BUSD換取169,882WEL

曾參與澳本聰案件的律師Stephen Palley將代表ZachXBT應對黃立成的起訴:6月18日消息，曾參與澳本聰案件的律師Stephen Palley發推稱，將與Jess Meyers和律所Brown Rudnick的團隊代表ZachXBT應對黃立成的起訴。Stephen Palley曾代表已故的David Kleiman親屬對澳本聰Craig Wright提起訴訟，指控其在2013年4月David Kleiman去世后盜取了其持有的比特幣。[2023/6/18 21:44:57]

3.發送80枚WEL到wlWEL，獲取到4,056wlWEL

Blur出價系統無法識別直接輸入的小數:12月7日消息，推特用戶Sen稱，用戶Keungz.eth在NFT市場Blur以遠高于地板價（3.8ETH）的價格以70ETH購買了Art Gobbler 8273。評論稱是因為Blur出價系統中輸入的數字無法識別第一個輸入的小數，存當用戶輸入為.70時，Blur將默認為出價70而不是0.7，其他用戶也曾因為該漏洞損失資金。[2022/12/7 21:28:02]

4.分別從wlUSDT借8,651BUSD、wlBTC借0.06BTC、wlETH借0.7ETH

ShapeShift將推出去中心化開源移動端應用程序:金色財經報道，非托管加密交易所和去中心化自治組織（DAO）ShapeShift通過將用戶遷移到一個新的開源應用程序，以進一步實現去中心化。

ShapeShift宣布，截至10月19日，其平臺的Web用戶均已遷移到該應用程序的去中心化版本。ShapeShift還宣布將推出提供DeFi體驗的新移動端App。新的移動端App在連接錢包和交易加密貨幣時，為用戶提供更多靈活性、移動性和功能。

Fox Foundation負責去中心化工作的Willy Orgorzaly表示，該移動端App是完全開源的，“唯一的后端是區塊鏈數據”，也將實現去中心化。（Cointelegraph）[2022/10/20 16:30:34]

5.將剩余的169,802WEL兌換成999,893BUSD，并歸還第一步的閃電貸

6.將借貸獲取的5,994BUSD、0.7ETH、0.06BTC轉入攻擊者地址

原理分析

通過分析，用戶在wlXXX池借貸時首先會調用?comptroller?的?borrowAllowed?方法判斷借貸條件是否成立。

然后調用?comptroller?的?enterMarkets?注入wlWEL資產作為質押品進comptroller中。

在?comptroller?的?borrowAllowed?方法中，getHypotheticalAccountLiquidityInternal?方法會計算當前用戶的總持倉資產價值是否大于總借貸價值

由于第2步使用巨量BUSD兌換WEL操作，導致WEL價格直線飆升，進而導致第3步的wlWEL價值飆升，攻擊合約以此分別向wlBTC,wlETH，wlUSDT借款，最后賣出閃電貸部分獲得的WEL，歸還BUSD閃電貸離場。

總結

這次閃電貸攻擊的核心原因在于對抵押物價值的計算易被操控，使得攻擊者通過閃電貸的巨額資金抬高了抵押物的價格，而超額借出了Welnance的wlBTC,wlETH，wlUSDT金庫的資產。

此前通過閃電貸操縱價格的攻擊事件頻發。知道創宇區塊鏈安全實驗室?在此提醒，任何有關資金問題的操作都需要慎重考慮，合約審計、風控措施、應急計劃等都有必要切實落實。

來源：金色財經

Tags：USDETHBUSDLLEBEP2 TrueUSDeth錢包地址領空投busd幣今日行情trustwallet錢包下載

USDT