New Free DAO攻擊事件分析：閃電貸無成本套利125萬美元_NEW:NFD

2022年9月8日，CertiKSkynet天網監測到NewFreeDAO(NFD)項目遭遇了閃電貸攻擊。

漏洞在NFD項目部署的一個未經驗證的獎勵合約中，攻擊者利用閃電貸借入NFD代幣，并將其發送到攻擊合約。隨后攻擊合約則調用未經驗證的獎勵合約，向攻擊者發送更多的NFD代幣。

攻擊者在3次攻擊中重復這個過程，獲取了4481個WBNB，價值約125萬美元。

由于攻擊者大量拋售NFD代幣，該代幣的價格已經暴跌超過99%。

②攻擊者執行了三次閃電貸攻擊，借助第一筆閃電貸款，借入250個WBNB，并將其交易為6,313,508個NFD代幣。

AI信息聚合交互式社交資訊流媒體Techub.NEWS將于4月16日上線:4月15日消息，總部位于香港的Techub.NEWS，是一家基于人工智能信息聚合交互式社交資訊流媒體平臺，已完成110萬美金種子輪融資，VCB、Ausvic Capital和MetaTdex Ventures（馬蹄創投）參投。Techub.NEWS計劃于2023年4月16日在香港數碼港舉行平臺上線發布會。

據悉，Techub.NEWS是一個提供基于AI熱點推薦的社交資訊平臺，包括社區管理工具、Web3行情量化、UGC生產分發、圍爐VIP付費訂閱、DashBoard與評級、AI聊天工具等多個板塊。[2023/4/15 14:05:24]

③這些代幣被發送到一些未經驗證的合約中。

BuzzFeed News披露BAYC兩名創始人的真實身份:2月6日消息，BuzzFeed News披露Bored Ape Yacht Club（BAYC）兩名創始人“Gargamel”和“Gordon Goner”的真實身份：32歲的作家兼編輯Greg Solano和35歲的Wylie Aronow。Greg Solano曾就讀于弗吉尼亞大學，在一些文學網站上擔任編輯和書評人，與一位游戲設計師合著一本關于魔獸世界的書。Wylie Aronow在2018年購買域名bitmex.guru，與Bitmex產生紛爭。

BAYC另外兩位聯合創始人“Emperor Tomato Ketchup”和“No Sass”的真實身份仍然未知。（BuzzFeed News）[2022/2/6 9:34:09]

④這調用了0xe2f9d09c，輸入NFD代幣地址0x0000000000000000000038c63a5d3f206314107a7a9fe8cbba29d629d4f9。

Newland新版已正式上線，兼容ETH、HECO、KSM鏈上生態:據官方公告，Newland新版已正式上線，新版Newland兼容Heco、ETH、KSM鏈上生態，已實現借貸、挖礦、KSM插槽拍賣等多功能聚合。

據悉，Newland是一個聚合多鏈的去中心化生態平臺，可為DeFi愛好者提供一站式DeFi借貸、Staking、聚合挖礦、多元生態(DOT、SOL等)服務。[2021/8/10 1:46:20]

⑤這觸發了NFD項目部署的另一個未經驗證的獎勵合約0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e.0x6811e3b9()。

Newland官方團隊：未來可能開通HPT鎖倉用戶專區，提供更高的LP挖礦權益:據最新消息，Newland官方正在推進杠桿挖礦等更多產品功能，以保證用戶的各類需求在Newland平臺都可以得到滿足。此外，Newland官方團隊還表示，未來可能將開通HPT鎖倉用戶專區，為Staking鎖倉用戶提供更高的LP挖礦權益。

據悉，Newland是今年2月由火幣礦池在HECO上發行的去中心化協議，致力于為DeFi礦工提供更多元的去中心化協議和服務，目前已上線聚合挖礦與借貸協議兩種功能。未來，Newland將陸續兼容ETH、 BSC、OKT等鏈上DeFi生態，打造行業一站式DeFi挖礦入口，持續拓展HPT應用場景，賦能HPT價值發展。[2021/4/22 20:46:26]

之后，未驗證的合約實際上從獎勵合約中收到了額外的525,283個NFD代幣——總計6,838,792個NFD代幣，這些代幣被發回給了攻擊合約。

⑥在上述交易中，NFD合約錯誤地釋放了額外的525,283NFD。因此當攻擊者完成攻擊時，獲取了總計343,323,371個NFD代幣，在償還了最初的250WBNB貸款后，獲利4481WBNB，總價值約125萬美元。

⑦最后攻擊者通過兩筆交易，將2,000WBNB換為556,556.72USDT。目前攻擊者錢包仍持有2,481WBNB。

資金去向

攻擊者總共獲得了4481個WBNB，并將其中的2000個換成了55.7萬枚USDT，剩下的WBNB仍然在攻擊者的賬戶中。

將2000WBNB交易為USDT的兩筆交易：

https://bscscan.com/tx/0x8c035fc9c3d944b3dd4a0ea721c119240cb624e79b7625a16173ad6682410599?

https://bscscan.com/tx/0xda4b4de6ecacfe9b8b60167a2010630aeec103ab51920eb2e1b94ba1fef6c95b?

相關地址

攻擊者賬戶：

https://bscscan.com/address/0x22c9736d4fc73a8fa0eb436d2ce919f5849d6fd2?

攻擊合約：

https://bscscan.com/address/0xa35ef9fa2f5e0527cb9fbb6f9d3a24cfed948863?

未經驗證的獎勵合約：

https://bscscan.com/address/0x8b068e22e9a4a9bca3c321e0ec428abf32691d1e?

WBNB-USDT對：

https://bscscan.com/address/0x16b9a82891338f9ba80e2d6970fdda79d1eb0dae?

USDT-NFD對：

https://bscscan.com/address/0x26c0623847637095655b2868c3182b2285bdaeaf?

寫在最后

攻擊發生后，CertiK的推特預警賬號以及官方預警系統已于第一時間發布了消息。同時，CertiK也會持續于官方公眾號發布與項目預警相關的信息。

CertiK的端到端安全解決方案，從智能合約審計和KYC項目背景調查服務，到Skynet天網動態掃描系統和SkyTrace等區塊鏈分析工具，以及漏洞賞金計劃，助力每一個項目充分發揮潛力的同時為Web3.0打造用戶和投資者高參與的生態系統。

Tags：NEWNFDBNBANDBitNewCoinNFD幣bnb英文DHANDS幣

中幣