“Cái bẫy” và “sự phá vỡ” của các cuộc tấn công flash loan đa chuỗi vào công cụ tổng hợp doanh thu Aperocket

Đọc bài viết này mất 9 phút

Aperocket, một công cụ tổng hợp doanh thu được triển khai trên chuỗi BSC và Polygon, đã bị tấn công bởi các khoản vay nhanh trong vòng chưa đầy 12 giờ.

Tiêu đề gốc: " "Cái bẫy" và "phá vỡ" của công cụ tổng hợp doanh thu Aperocket trong các cuộc tấn công cho vay nhanh đa chuỗi 》

Nguồn gốc: PeckShield

Ngày 14/7 tổng kết doanh thu trên chuỗi BSC và Polygon Máy chủ Aperocket bị tấn công bởi flash loan trong vòng chưa đầy 12 giờ.

Theo phân tích theo dõi và định vị của PeckShield, mặc dù những kẻ tấn công đã sử dụng các phương thức tấn công khác nhau hai lần nhưng cả hai đều do lỗ hổng lạm phát doanh thu trong Aperocket. .

Sau khi Aperocket trên chuỗi BSC bị tấn công, giá token SPACE của nó đã giảm 75% trong một khoảng thời gian ngắn.

Aperocket là "Fork" Công cụ tổng hợp doanh thu của PancakeBunny, trước đây đã bị tấn công bởi một cuộc tấn công cho vay nhanh, đã gây ra một loạt các cuộc tấn công cho vay nhanh vào Domino's.

Người dùng nhận được lợi nhuận gộp tự động bằng cách đặt cược mã thông báo LP, CAKE hoặc SPACE của ApeSwap.

Trong sự cố bảo mật này, kẻ tấn công đã cam kết BÁNH và nhận được phần thưởng CAKE và SPACE phần thưởng mã thông báo (phần thưởng bổ sung cho Aperocket), lợi nhuận từ việc khai thác lỗ hổng AutoCake:withdrawAll()

PeckShield “Paidun” mô tả ngắn gọn quá trình tấn công vào chuỗi BSC:

Đầu tiên tất cả, Kẻ tấn công đã vay hai khoản vay flash từ PancakeSwap, tổng cộng là 1,615 triệu CAKE;

Sau đó, 509.000 CAKE được gửi vào quỹ quỹ. Bước này sẽ giúp kẻ tấn công gọi hàm WithdrawAll() hoặc kiếm() trong hợp đồng AutoCake sau này. ) , quỹ quỹ sẽ đúc token SPACE;

Bởi vì kẻ tấn công đầu tiên đã thế chấp một lượng lớn CAKE vào nhóm vốn, điều này nhanh chóng làm tăng tỷ lệ sở hữu trong nhóm vốn, cho phép kẻ tấn công chia sẻ hơn 90% thu nhập cam kết AutoCake, cụ thể là BÁNH và KHÔNG GIAN;

Sau khi hoàn thành công việc sơ bộ và gửi CAKE vào nhóm quỹ, kẻ tấn công đã thực hiện giao dịch thứ hai, cam kết 1,105 triệu CAKE vào hợp đồng AutoCake và gọi hàm thu hoạch trong hợp đồng AutoCake để kích hoạt tái đầu tư, tương đương với Phiên bản matryoshka của nhóm lãi kép CAKE. Bằng cách đặt cược CAKE, bạn có thể khai thác CAKE và hợp đồng sẽ tự động cam kết số CAKE thu được vào nhóm quỹ CAKE.

Khi BÁNH được ghi có vào hợp đồng tăng lên thì SPACE được tạo ra cũng tăng theo.

Cuối cùng, kẻ tấn công đã trả lại khoản vay nhanh và kiếm được khoản lãi 883,5 BNB (hợp đồng trị giá 273.000 USD). Theo thống kê từ PeckShield, kẻ tấn công đã kiếm được khoảng 1 triệu USD trên Polygon.

Kể từ quý 1 năm 2021, thị trường DeFi đã cho thấy xu hướng bùng nổ sinh thái đa chuỗi, toàn thị trường tiếp tục đà tăng trưởng mạnh mẽ trong quý 2 nửa năm 2020. Hầu hết các chỉ số đều đạt mức cao nhất mọi thời đại.

Tuy nhiên, khi thị trường tiền ảo sụt giảm vào cuối quý 2, lĩnh vực DeFi cũng ít nhiều bị ảnh hưởng. Trong khi các chuỗi công khai khác nhau đang cạnh tranh về tính thanh khoản, các giao thức DeFi hiện tại cũng đang khám phá và thích ứng với các phương thức vận hành mới nổi—bố cục đa chuỗi.

Tỷ lệ lợi nhuận đáng kể giúp thu hút thanh khoản, nhưng đồng thời, việc bố trí đa chuỗi cũng đặt ra yêu cầu cao hơn về tính bảo mật và tốc độ phản hồi bảo mật của giao thức. Khi xảy ra sự cố bảo mật, không chỉ cần điều tra ngay các lỗ hổng đã bị tấn công và đề xuất giải pháp bảo mật mà khi phát hiện các lỗ hổng tiềm ẩn trên một chuỗi thì các giao thức trên một hoặc nhiều chuỗi khác cũng phải được phát hiện càng sớm càng tốt. Nếu có vấn đề tương tự, hãy kịp thời cảnh báo cộng đồng và đề xuất các giải pháp bảo mật để tránh rủi ro cho các tài sản có giá trị liên quan, điều này sẽ giúp giảm thiểu những tổn thất đã biết và có thể lớn hơn.

Sau cuộc chiến tấn công và phòng thủ với những kẻ tấn công nửa đầu năm nay, PeckShield phát hiện ra rằng họ đã thiết lập cơ chế ngắt mạch kiểm soát rủi ro và giới thiệu bên thứ ba Việc cảm nhận các dịch vụ tình báo, ứng phó ngay lập tức với các rủi ro bảo mật, điều tra và ngăn chặn các cuộc tấn công bảo mật kịp thời có thể giảm thiểu tổn thất do các cuộc tấn công cho vay nhanh gây ra một cách hiệu quả.

Với sự gia tăng của việc triển khai đa chuỗi, khi xử lý các sự cố bảo mật, những người tham gia giao thức và đội bảo mật chuyên nghiệp bắt buộc phải bình tĩnh và bình tĩnh hơn những kẻ tấn công. Đây là cuộc chiến về thời gian, và những kẻ tấn công sẽ không dừng lại và dung thứ cho nó . Chúng ta phản ánh rằng chỉ cần chúng ta nghĩ trước kẻ tấn công một bước thì ngay cả một bước nhỏ cũng có thể trở thành bước tiến lớn để chúng ta giành được thắng lợi dàn dựng trong trận chiến này.