UwU Lend 区块链攻击技术分析
发布时间:2024-07-22
相关信息分析:
攻击者共发起了3笔攻击交易:
0xca1bbf3b320662c89232006f1ec6624b56242850f07e0f1dadbe4f69ba0d6ac3
0xb3f067618ce54bc26a960b660cfc28f9ea0315e2e9a1a855ede1508eb4017376
0x242a0fb4fde9de0dc2fd42e8db743cbc197ffa2bf6a036ba0bba303df296408b
攻击者地址:
0x841ddf093f5188989fa1524e7b893de64b421f47
存在漏洞的合约地址:
0x9bc6333081266e55d88942e277fc809b485698b9
攻击原理:
本次攻击的源头在于攻击者通过在 CurveFinance 的池子中进行大额兑换操纵sUSDE 代币的价格,并且利用被操纵后的代币价差,从池子
中套出其他资产。
攻击流程:
1、从不同平台闪电贷多种代币,用借入资产砸低 USDE 的价格,在可以影响 sUSDE 价格的 Curve 池子中将借来的部分 USDE 代币
兑换成其他代币。
2、不断创建借贷头寸,即向LendingPool合约中存入其他资产,然后借贷出大量的sUSDE。(因为sUSDE价格已被恶意砸低,相同资产借
贷出的sUSDE数量要比正常情况多。)
3、再次操纵价格,反向操作将sUSDe的价格拉高。
4、大批量清算借贷头寸:在sUSDE 的价格被迅速拉高期间,攻击者通过大量清算之前借款的头寸来获得 uWETH。
5、存入剩余的sUSDE并借贷出合约中更多的其他资产,将所得资产兑换代币,偿还闪电贷,并获取盈利。
通过上面的分析不难看出,攻击者可以通过操纵加密货币的价格,在低价时借贷入场,高价时清算离场,从而获取暴利。
 从sUSDE价格合约 sUSePriceProviderBUniCatch中可以看出,sUSDE的价格是由CurveFinance 上的 USDE 池子和 UNI V3 池子获取
的 11 个不同价格的 USDE 代币,根据这些价格进行排序和计算中位数来确定的。
Copyright © 上海巨瑞网络科技有限公司 版权所有 沪ICP备15005663号-1
沪公网安备 31011402002446号