“閃電貸攻擊”再現 ApeRocket Finance被黑事件簡析_CAKE:UTO

一、事件概覽

北京時間7月14日，鏈必安-區塊鏈安全態勢感知平臺輿情監測顯示，BSC生態DeFi收益耕種聚合器ApeRocketFinance遭遇“閃電貸攻擊”。據相關消息指出，此次攻擊事件中，攻擊者針對的是ApeRocket其下Apeswap的SPACE-BNB池，其項目代幣SPACE已下跌逾75%。

成都鏈安·安全團隊近期已披露多起BSC生態“閃電貸”攻擊事件，在ApeRocketFinance被黑事件中，攻擊者依然利用了“閃電貸”的攻擊原理，“換湯不換藥”，通過操縱項目合約的“質押收益”和“獎勵機制”從而進行獲利。值得注意的是，ApeRocketFinance是本月首起較為典型的安全攻擊事件，在此提醒各項目方做好日常安全審計和安全防護工作。

zkSync：推特賬戶已被盜用，在Matter Labs及其CEO確認前切勿相信:4月14日消息，zkSync 發推稱，此推特賬戶已被盜用，提醒用戶在 Matter Labs 及其聯創與 CEO Alex G. 確認前切勿相信該賬戶信息。[2023/4/14 14:04:27]

二、事件分析

攻擊過程分析

1.?攻擊者首先利用了“閃電貸”，借取了1259459+355600個cake。

Seed Club Ventures公布已投資項目，包含Lens Protocol等:3月28日消息，DAO加速器SeedClub發文公布旗下風投基金Seed Club Ventures已投資項目。Seed Club Ventures在preseed輪和種子輪投資了包括Guild、StabilityAI、LensProtocol、Coordinape和Molecule在內的互聯網原生項目，投資領域涵蓋人工智能、去中心化科研和Web3社交等前沿領域。

此前報道，3月21日消息，Seed Club 以2500萬美元的資金啟動了其風投部門Seed Club Ventures。該筆資金將在未來幾年內部署到種子前和種子階段的項目，為DAO和開放社區建設基礎設施、應用程序和工具，投資金額從10萬美元到100萬美元不等。[2023/3/28 13:30:54]

Compound III計劃于本周上線Polygon:2月14日，Compound III團隊成員Jared F在項目Discord社群中表示，Compound III計劃于本周內上線Polygon，但可能存在小幅延期。[2023/2/14 12:06:40]

2.?隨后，將其中的509143個cake抵押至AutoCake。

3.?攻擊者將剩余的1105916個cake直接打入AutoCake合約。

ARK Invest：到2030年，智能合約網絡每年可提供4500億美元的費用:金色財經報道，ARK Invest近日發布“2023 Big Ideas”研究報告，比特幣、數字錢包、公鏈和智能合約網絡占據2023年14個“大創意”中的四席。

報告強調了Layer2網絡Arbitrum和Optimism上的交易數量，現在與以太坊基礎層交易數量相當。ARK Invest補充說，到2030年，智能合約網絡每年可提供4500億美元的費用。與此同時，ARK Invest預計數字錢包用戶的數量將以每年8%的速度增長，到2030年達到全球人口的65%。

在另一個名為“技術融合”的主題中，Ark表示，加密挖礦可以支持更多的太陽能電池安裝，并指出“將比特幣挖礦納入太陽能存儲系統可以提高電網的規模和可靠性，而不會增加電力的平均成本”。[2023/2/2 11:41:53]

4.?然后攻擊者再調用AutoCake中的harvest觸發復投，將步驟3中打入Autocake的cake進行投資。

5.?完成上述攻擊步驟后，攻擊者調用AutoCake中的getReward結算步驟2中的抵押盈利，隨即觸發獎勵機制鑄幣大量的SPACEToken進行獲利。

6.?歸還“閃電貸”，完成整個攻擊后離場。

攻擊原理分析

在此次攻擊事件中，攻擊者首先在AutoCake中抵押了大量Cake，這使得其持股占比非常之高，從而能夠分得AutoCake中幾乎全部的質押收益。

在步驟3中，攻擊者直接向AutoCake合約中打入大量cake，這部分cake因并沒有通過抵押的方式打入AutoCake合約；根據合約自身邏輯，將會被當作“獎勵”。

一來一回，直接打入AutoCake中的cake大部分最終也會結算給攻擊者。

但另一方面，在進行getReward操作時，函數會根據質押而獲得獎勵的數量來鑄幣SPACEToken發放給用戶，做為另外的獎勵。在正常情況下，質押獎勵較少，因此鑄幣的SPACEToken也會很少；但由于攻擊者上述的操作，便導致鑄出了大量的SPACEToken。

三、事件復盤

不難看出，這是一次典型的利用“閃電貸”而完成獲利的攻擊事件，其關鍵點在于AutoCake合約自身邏輯的“獎勵機制”，最終導致攻擊者鑄出了大量的SPACEToken完成獲利。同時，這也是本月首起典型的“閃電貸”攻擊事件，值得引起注意。

成都鏈安·安全團隊建議，隨著“閃電貸”在DeFi生態越來越受青睞，潛藏在暗處的攻擊者也隨時準備著利用“閃電貸”而發動攻擊。因此，DeFi生態各項目方仍然需要格外重視來自“閃電貸攻擊”的威脅，與第三方安全公司積極聯動，構建起一套完善而專業的安全防護機制。

Tags：CAKETOCUTOAUTOCCAKEMAP ProtocolPLUTO價格AutoFarm

Gateio