WEEX 唯客博客， 撰文：Doris，慢雾科技 背景 2024 年 3 月 14 日，据慢雾 MistEye 安全监控系统预警，Optimism 链上的去中心化借贷协议 MOBOX 遭攻击，损失约 75 万美元。慢雾安全团队对该攻击事件展开分析并将结果分享如下： (https://twitter.com/SlowMist_Team/status/1768167772230713410) 相关信息 攻击者地址： 0x4e2c6096985e0b2825d06c16f1c8cdc559c1d6f8 0x96f004c81d2c7b907f92c45922d38ab870a53945 被攻击的合约地址： 0xae7b6514af26bcb2332fea53b8dd57bc13a7838e 攻击交易： 0x4ec3061724ca9f0b8d400866dd83b92647ad8c943a1c0ae9ae6c9bd1ef789417 攻击核心 本次攻击的核心点主要有两个，其一是攻击者利用合约中的 borrow() 函数漏洞，每次调用该函数都会触发对推荐人地址的奖励分配。由于奖励的计算是基于转移的代币数量确定的，所以攻击者可以通过将给推荐人的奖励再次转回被攻击合约来增加下一次借款的数量。其二是每次调用 borrow() 函数会燃烧掉池子中的一部分 MO 代币，因此 MO 代币的价格被不断拉高，最终攻击者可以通过不断借款并叠加奖励获利。 交易分析 我们可以发现，整个攻击的流程主要是通过循环调用存在漏洞的 borrow() 函数，随后立即调用 redeem() 进行赎回，再将分配给推荐人的代币转移回攻击合约。 跟进 borrow() 函数进行分析，可以发现每次调用该函数都会燃烧掉池子中的部分 MO 代币。 然而借出去的 USDT 的数量是根据池子中的 MO 代币的价格进行计算的，由于 MO 代币的价格因为燃烧而不断的拉高，最终导致攻击者用少量的 MO 代币就能借出大量的 USDT 代币。 此外，每次借款都会给一个推荐人地址进行分红奖励，并且该函数是根据传入的 MO 代币的数量进行计算的。 然而由于推荐人地址也是由攻击者 (0x96f004c81d2c7b907f92c45922d38ab870a53945) 控制的，所以攻击者可以在完成借贷操作后，将这部分奖励转回来，以此叠加下一次借款的数量和分红奖励。 经过以上循环操作后，攻击者拉高了 MO 代币的价格，最终可以用极少数量的 MO 代币就能借出合约中的大额的 USDT，并且直接在失衡的池子中将 USDT 全部兑换出来，获利离场。 总结 本次攻击的核心在于攻击者利用 borrow() 函数会燃烧池子中部分代币的机制，不断借用资产，拉高池子中代币的价格并获取推荐人奖励，随后把代币转移回来并再次借用，以此不断叠加奖励和操控价格。慢雾安全团队建议项目方在类似功能函数中添加锁仓时间的限制，并且在设计借贷的价格模型时考虑多种因素，避免类似事件再次发生。 WEEX唯客交易所官網：https://www.weex.com/
复盘：MOBOX 被黑分析
🚀 主流数字货币交易所推荐
安全稳定的交易平台 | 新用户注册享专属福利
⚠️ 风险提示：数字货币交易存在风险，请理性投资，谨慎决策
相关推荐
猜你喜欢
趣闲赚app赚钱靠谱吗?如何推广好友赚钱【多图】
如何推广好友赚钱呢？这个问题你可能不会了解是如何发生的，看小编为你了解一下吧，如何通过趣闲赚的软件推广教程吧，通过手机就能获得现金奖励的软件平台。...
高佣联盟怎么挣钱？我已经达成月入3万光辉成就
至今，琼瑶都秉持着一个人生信念:如果没有过人的天赋和技能，那就勤奋点努力点!尤其在了解过这个特立独行的宝妈之后，你会发现她精于选择的人生态度实在不愧对于她目前在高佣所取得成功。 编者语 我是琼瑶，来自福建泉州，往详细里说，古建之乡一 惠安。 《爱拼才会赢》，作为一首广而传...
优惠券怎么做才能赚钱？地推为成功助力
我正式加入高佣联盟这个正能量满满的大家庭!并在师傅，团队伙伴和如简的帮助支持下，从一个标准的宝妈小白,凭借高佣联盟“让生活更优惠,让创业更简单”的大爱平台,到如今159w+团队，终于打拼出属于自己的一片天空!感谢帮助过我的所有人，滴水之恩，永远铭记于心!...
加入高佣前，我从事过不同行业，稳居销售部第一
互联网行业正在以摧枯拉朽之势改变着越来越多的传统行业，高佣联盟作为国内导购电商的领头羊，它巨大的吸金能力满足了人们对金钱的渴望和追求美好生活的需求。在高佣，只要努力，有付出，就定会越做越好。...
高佣联盟是怎么赚钱的？每个月两三千的收入
高佣联盟对于我们宝妈来讲就是一个很好的事业，从不会辜负你的努力，自从做高佣，就像找到了依靠，遇到问题和想法，都会有公司帮忙解决!能遇到一个如此负责的团队，对我来说真的很是幸运!...
当了7年全职宝妈，纯小白起步的教程
但有了宝宝后就做了全职宝妈，一做就是七年。这七年，除了把我培养的颇懂如何带娃养娃之外，其他的职场技能似乎消失殆尽。当我想重新赚钱的时候，与社会长期脱轨带来的自我怀疑，让我陷入了迷茫，而高佣联盟的出现，让我看到了能找回曾经的自己的希望...
手机赚钱：轻松实现财务自由的机会
导语：如今，手机已经成为人们生活中不可或缺的一部分，随着科技的进步，手机不仅仅是用来沟通的工具，更是赚钱的利器。通过手机赚钱不仅可以增加收入，还能实现财务自由，让生活更加丰富多彩。本文将介绍一些手机赚钱的方法，帮助读者找到适合自己的赚钱方式。 正文：1.在线调查：许多市场调查公司会通过手机应用邀请用户参与调查，并支付一定的报酬。用户只需花费一些时间回答问题，就能获得相应的奖励。通过参与在线调查，不仅能够赚...
安卓手机如何赚钱
安卓手机作为智能手机的一种，随着科技的发展和普及，已经成为人们生活中不可或缺的一部分。除了作为通信工具和娱乐设备外，安卓手机还可以成为一种赚钱的工具。下面我将为您详细介绍如何利用安卓手机赚钱的方法。 在线调查：安卓手机上有许多可以参与的在线调查平台，注册并完成调查任务后，您可以获得一定的报酬。这种方式需要花费一些时间和精力，但相对来说较为简单，适合想要利用碎片时间赚取一些零花钱的人。 应用试玩：...
宝贝支付可信吗？是真是假?
宝贝支付现在在支付行业火的不要不要的，越来越多的传统POS机代理商加入，很多用户体验了一次以后也再也不愿意用POS机了，因为太方便了，费率也比机子低，但毕竟POS机在国内发展了10多年，每年交易量破百万亿，要让用户使用宝贝支付完成刷卡交易还有一个很漫长的过程，很多用户没有使用过手机POS机，觉得不可信，那么宝贝支付可信吗？是真是假？今天宝贝支付小朗哥为你揭秘！ 先来看看公司情况。宝贝支付是上海飞付信息科技有限公...
信用卡取现手续费最低的方法：手机POS机小额费率0.38%
用卡取现手续费最低的方法：手机POS机小额0.38%，可以的，不过有两种取现形式。 第一种是额度取现，就是把信用卡的预借现金额度取出，取现额度通常不超过信用卡总额度的50%，银行是会收取手 续费和利息的。另外一种就是溢缴款取现，这个就是用户把多余的钱存到信用卡当中，这笔钱是可以取现的，但是也 会产生手续费。所以不建议把钱存到信用卡当中的，不仅会没有利息甚至取现有限制，并且会产生手续费。 手机取现才最划算手续费最低&h...
