詳解APE空投漏洞-ODAILY_YAC:FitR Metaverse Token

Author：

Time：1900/1/1 0:00:00

北京時間2022年3月17日，我們的系統監控到涉及APECoin的可疑交易，根據twitter用戶WillSheehan的報告，套利機器人通過閃電貸薅羊毛，拿到6W多APECoin。

我們經過分析后，發現這和APECoin的空投機制存在漏洞有關。具體來說，APECoin決定能否空投取決于某一個用戶是否持有BYACNFT的瞬時狀態，而這個瞬時狀態攻擊者是可以通過借入閃電貸然后redeem獲得BYACNFT來操縱的。攻擊者首先通過閃電貸借入BYACToken，然后redeem獲得BYACNFT。然后使用這一些NFT來claim空投的APE，最后將BYACNFTmint獲得BYACToken用來返還閃電貸。我們認為這個模式同基于閃電貸的價格操縱攻擊非常類似。

福布斯：硅谷銀行倒閉后多家美國數字銀行客戶和存款數量激增:3月16日消息，硅谷銀行倒閉后多家美國數字銀行客戶和存款數量激增，包括：總部位于舊金山的數字銀行Mercury過去六天增加了超過20億美元存款和數千名客戶。提供商業銀行賬戶的金融機構Brex在過去一周增加了3,000名新客戶和數十億美元的新存款（該機構拒絕提供具體金額數字），Brex還向前硅谷銀行客戶提供貸款以幫助他們支付工資。紐約數字銀行Meow和Rho迎來新客戶激增，前者過去一周政府債券的“每日需求量達數億美元”。金融機構Arc自上周四以來已有500家初創公司申請了總計超過1.5億美元的工資融資。

但《福布斯》分析認為，盡管數字銀行迅速吸引了新的存款和客戶，但是否能留住他們還很難說。[2023/3/16 13:08:31]

接下來，我們使用一個攻擊交易(https://versatile.blocksecteam.com/tx/eth/0xeb8c3bebed11e2e4fcd30cbfc2fb3c55c4ca166003c7f7d319e78eaab9747098)來簡述整個過程。

XDao以5000萬美元的估值完成230 萬美元融資:金色財經報道，多鏈DAO構建器XDao宣布以 5000 萬美元的估值在種子輪融資中籌集了 230 萬美元。?該輪投資者包括 Panony、DWF Labs、Telos Foundation 和 Grizzly Capital。

首席執行官Vlad Shavlidze 在一份電子郵件聲明中表示，這些資金是通過代幣銷售籌集的，該代幣銷售于 11 月 21 日結束。投資條款包括 12 個月的封閉期和 36 個月的線性歸屬期，以及針對加密熊市量身定制的代幣經濟學。??[2022/11/26 20:46:42]

StepI:攻擊準備

派盾：AnubisDAO Rug Pull地址分多筆將約1018枚ETH經由中間地址轉入Tornado Cash:6月24日消息，據派盾監測，AnubisDAO Liquidity Rug 3地址（0xb1...e211）分多筆累計將約1018枚ETH（約1177.8萬美元）經由中間地址（0x07...b7f4）轉入TornadoCash。

去年10月，AnubisDAO Liquidity Rug 2地址（0x9f...912a）卷走AnubisDAO 5800萬美元資金，推特用戶@0xSisyphus曾發推懸賞1000枚ETH賞金查明該地址身份。[2022/6/24 1:29:10]

Gitcoin已開放第14輪捐贈活動，共有超300萬美元匹配資金:6月9日消息，Gitcoin 現已開放第 14 輪捐贈活動，共有超 300 萬美元匹配資金。同時，Gitcoin 宣布一個托管在 Ceramic Network 的身份驗證應用程序 Gitcoin Passport，允許 Gitcoin Grants 和其他應用評估其個性或社會屬性。[2022/6/9 4:13:37]

攻擊者購買了編號1060的BYACNFT并且轉移給攻擊合約。這個NFT是攻擊者花了106ETH在公開市場購買的。