SharkTeam丨黑色519/520：PancakeBunny被黑事件分析

刚经历了凄凉的519不眠之夜，北京时间2021年5月20日上午7点左右，币安智能链（BSC）上的 DeFi 收益聚合器 PancakeBunny 遭遇攻击，代币 BUNNY 的价格在 6 点 35 分左右从 240 美元闪崩，一度跌破 2 美元，最高跌幅一度超 99%。不久后，PancakeBunny 的官方推特上发推称，本次攻击是闪电贷攻击，并公开了攻击交易：

0x897c2de73dd55d7701e1b69ffb3a17b0f4801ced88b0c75fe1551c5fcce6a979

SharkTeam第一时间对此事件进行了攻击分析和技术分析，并总结了安全防范手段，希望后续的区块链项目可以引以为戒，共筑区块链行业的安全防线。

一、事件分析

从官方公布的攻击交易中分析可知，本次黑客确实为闪电贷攻击，具体攻击流程如下：

（1） 攻击者分多次，通过闪电贷获得了大量WBNB

（2） 为WBNB/BUSDT资金池增加流动性，并获得约144445个对应的LP Token。

（3） 在Pancakeswap中将2315631个WBNB Swap为3826047个BUSDT，造成WBNB/BUSDT中有大量的WBNB，并对LP Token的价格造成影响。

（4） 之后攻击者进行流通性奖励提取时，通过VaultFlipToFlip中getReward函数来获得BUNNY奖励。而在铸造BUNNY奖励时，其数量计算公式依赖于WBNB/BUSDT资金池的LP Token余额，而此时LP Token通过第2、3步已被拉高。

（5） 攻击者共提取了6972455+1045868个BUNNY。

（6） 将BUNNY Swap为WBNB，并归还第一步闪电贷借出的WBNB，并获利。

二、SharkTeam区块链安全知识课堂

此次事件是又一次与闪电贷攻击有关的区块链安全事件，DeFi项目的业务逻辑设计复杂，涉及的经济学计算和参数较多，却不同项目和协议之间可组合性极其丰富，很难预测，非常容易出现安全漏洞。如下表，利用闪电贷这种新型产品进行攻击的DeFi事件在过去的一年里层出不穷，已增加到17起。通常闪电贷攻击包括“哄抬套利”、“操纵预言机”、“重入攻击”和“技术漏洞”四种。本次属于基于“操纵预言机”的黑客攻击。

三、安全建议

智能合约安全关系用户的财产安全，至关重要！区块链项目开发者应与专业的安全审计公司合作，为用户的数字资产安全和项目本身安全提供保障。

SharkTeam作为领先的区块链安全服务团队，为开发者提供智能合约审计服务。智能合约审计服务由人工审计和自动化审计构成，满足不同客户需求，独家实现覆盖高级语言层、虚拟机层、区块链层、业务逻辑层四个方面111项审计内容，全面保障智能合约安全。

SharkTeam为客户提供高级别的区块链安全服务，区块链安全专家团队7*24小时为智能合约提供全生命周期的安全保障，服务包括：VIP安全审计服务、VIP合规审计服务、安全事故应急响应等。

SharkTeam也提供自动化审计工具，自动化审计以云服务的方式为用户提供服务。运用符号执行、形式化验证等智能合约分析技术，满足开发者智能合约日常审计需求。