SharkTeam 2021-10-23 10:14

摘要:

闪电贷攻击：PankeHunny被黑事件分析

北京时间2021年10月20日，PancakeHunny自今年6月3日Hunny Minter智能合约被攻击后，第二次遭受攻击，使得Hunny币的价格短时间下降70%。

SharkTeam第一时间对此事件进行了攻击分析和技术分析，并总结了安全防范手段，希望后续的区块链项目可以引以为戒，共筑区块链行业的安全防线。

一、事件分析

攻击者共发起26次攻击，每一笔攻击包含32币交易转账，攻击者在短时间内共获利388 个 BNB 和 170 万 TUSD（大约 190 万美元），通过跨链平台anyswp转移到Ethereum主网后通过混币平台转移走大部分资产。

攻击流程简述：

1. 从 Cream Finance 中通过闪电贷获得个53.25 BTC ；

2. 用53.25个 BTC 从 Venus平台借贷获得2,717,107 TUSD；

3. 将2,717,107 TUSD转入 PancakeSwap 的WBNB/TUSD 矿池，swap出1.071个WBNB，拉高了WBNB/TUSD池子中WBNB/TUSD的兑换率；

4. 获得0.00889145个ALPACA奖励代币，在PancakeSwap通过ALPACA/WBNB交易对将ALPACA兑换成0.00001660WBNB，再通过WBNB/TUSD交易对兑换成 203,021个TUSD，因为步骤2中拉高了WBNB/TUSD的兑换率，所以少量的WBNB即兑换出了大量的TUSD。

将203,021个TUSD质押到HUNNY TUSD Vault中，调用getReward()赎回并获得12,020HUNNY代币；

5. 将获得的12,020HUNNY代币出售获得7.78 WBNB；

6. 通过多个地址进行类似的操作，获得大量的HUNNY代币，并及时以WBNB的形式将资产进行转移；

7. 最后一笔交易将1.07个BNB swap 出2,574,986个TUSD，将VaultStrategyAlpacaRabbit池子中WBNB/TUSD的兑换率拉回正常；

8. 最后偿还 Venus平台的2,717,107 TUSD，并归还闪电贷53.263个BTC。

值得注意的是，今年6月份的Pancake Hunny的安全攻击时也是因为铸造过量的HUNNY代币。通过项目方关于挖矿的利润介绍可知，通过计算投资者获取利润相对于BNB的价格hunnyPerProfitBNB来发放收益，原本设定赚取1个BNB可铸币1000个HUNNY代币，现在hunnyPerProfitBNB为1200000000000000000000，1个BNB利润可铸1200个HUNNY代币。

漏洞产生的根本原因：

攻击者通闪电贷获取大量资金来操纵WBNB/TUSD的兑换率，使得WBNB可以换得大量的TUSD，将获取的少量ALPACA奖励代币转换为少量的WBNB，后利用不正确的WBNB/TUSD兑换率，将少量WBNB获得大量的TUSD；将大量的TUSD质押到HUNNY TUSD Vault中，调用getReward()函数，获得大量的HUNNY代币，并及时将HUNNY兑换为BNB，并转移资产，重复多次操作实现套利。

Pancake Hunny在计算铸币数量时，假定利润为P，铸币数量为H，关系式为：

H =（P * 1e18 / bnbPriceInUSD） * hunnyPerProfitBNB;

攻击者通过操纵WBNB/TUSD价格获得大量TUSD，将USD质押入HUNNY TUSD Vault中，铸造HUNNY代币（使用正常的USD兑换BNB的比例（bnbPriceInUSD）算出BNB的个数，计算出HUNNY的铸币数量），重复多次攻击者铸造大量的HUNNY代币并转为BNB获利。

二、安全建议

此次事件是又一次与闪电贷有关的安全事件，DeFi项目的业务逻辑设计复杂，涉及的经济学计算和参数较多，却不同项目和协议之间可组合性极其丰富，很难预测，非常容易出现安全漏洞。如下表，利用闪电贷这种新型产品进行攻击的DeFi事件在过去的一年里层出不穷，已增加到46起。通常闪电贷攻击包括“哄抬套利”、“操纵预言机”、“重入攻击”和“技术漏洞”四种，本次属于基于利用“操纵预言机”进行的闪电贷攻击。

SharkTeam提醒您，在涉足区块链项目时请提高警惕，选择更稳定、更安全，且经过完备多轮审计的公链和项目，切不可将您的资产置于风险之中，沦为黑客的提款机。而作为项目方，智能合约安全关系用户的财产安全，至关重要！区块链项目方应与专业的安全审计公司合作，进行多轮审计，避免合约中的状态和计算错误，为用户的数字资产安全和项目本身安全提供保障。

SharkTeam作为领先的区块链安全服务团队，为开发者提供智能合约审计服务。智能合约审计服务由人工审计和自动化审计构成，满足不同客户需求，独家实现覆盖高级语言层、虚拟机层、区块链层、业务逻辑层四个方面近两百项审计内容，全面保障智能合约安全。

和2万人一起加入鸵鸟社群

添加QQ群：645991580

添加TG群：鸵鸟中文社区 https://t.me/tuoniaox

声明： 鸵鸟区块链所有发布内容均为原创或授权发布，如需转载，请务必注明文章作者以及来源：鸵鸟区块链（微信公众号：MyTuoniao），任何不尊重原创的行为鸵鸟区块链都将进行责任追究！鸵鸟区块链报道和发布内容，不构成任何投资建议。