2021-06-29 18:50

1个月遭3次黑客攻击,监守自盗还是疏忽大意?

6月29日15点24分,BSC 机枪池项目Merlinlab代币MERL价格闪崩,3分钟内从16美元跌至8美元,跌幅50%。

项目方电报群开始躁动,部分人认为是遭到黑客攻击增发代币然后砸盘造成价格暴跌。不过,项目方管理员解释是大户砸盘,没有增发代币。

16:28,区块链安全公司Peckshield发出预警,认为Merlinlab疑似遭遇攻击。推特KOL“John Dough”补充说黑客已经将价值154个ETH的获利资金通过跨链桥Anyswap转移到以太坊逃跑了。

(攻击合约哈希:https://bscscan.com/tx/0x3be6c0ab07d7fa03bca44b0d0aa4093e67dca2747278cf2951740f2cd8db5a0f

转移资金哈希:https://bscscan.com/tx/0xbb58a9001b70bf468f241d5af0bd63eb26015af88f65c55c0cbdd90f9be4a914)

17:21,Peckshield初步得出结论,应该是MerlinStrategyAlpacaBNB的一个BUG被利用了。

项目方反应也不慢,16:55开始调查着手调查背后原因。

17:24,项目方得出初步结论,是经济规则漏洞被利用了:

Merlin 开发团队今天早上已将 Alpaca 单一资产保险库部署到主网上进行测试。这个保险库不应该公开可用或准备向公众发布。

通过智能合约,黑客将 0.1WBNB 存入金库,然后手动将 1000BNB 转入合约以欺骗合约认为它已收到 1000BNB 的奖励,从而导致铸币厂产生 MERL 奖励。

简单说,估计是Merlinlab想上新功能,早上直接拉了一个合约部署到主网测试,未经过严密测试被黑客抓住了机会。由于梅林的激励是按收到的bnb来计算的,所以导致了一次大量增发。

项目方此次疏忽,实属不应该。

部分投资人表示,这个保险库不应该公开可用或准备向公众发布。

BSC社区KOL土澳大狮兄认为,“团队公布了这次被黑的原因,有点好笑,合约被黑客手动欺骗了。具体的细节团队后续会公布,这也提醒其它项目方需要谨慎,黑客不仅仅会通过bug来攻击,更会利用经济规则的漏洞来进行攻击。”

17:38,Peckshield查出了发生攻击的合约代码:


团队作恶?


不过,也有部分投资人怀疑是团队作恶。

怀疑的理由是:从更新代码、上线、攻击增发、收割,几个小时内一气呵成。不是内部人都说不过去。

“合约早上发布到现在,不是项目方的话有哪个黑客能一下就找出逻辑漏洞进行攻击。再加上只是一个部署到主网的测试功能的合约,项目方才最清楚。”

还有人认为,“故意增发,行情不好,只能割矿工了。”

以上只是猜测,并没有直接证据。


信心比黄金更重要


实际上,这是项目方遭遇的第三次攻击,前两次攻击发生在5月26日,黑客从中获利120万美元。MERL代币价格在攻击中从约40美元腰斩至20美元。

时隔1个月,遭遇第三次攻击,这对仍旧坚持在上面耕种的投资人的信心打击无疑是巨大的。

“信心比黄金更重要”,这句话放在DeFi领域再合适不过。一旦投资人对项目失去信心,再好的经济模型也难以发挥作用。

自从BSC曾经最大的机枪池PancakeBunny遭遇攻击之后,代币价格一蹶不振,TVL骤降,大量DeFi农民将资金迁往他处,一去不回。

PancakeBunny将种地收益的30%换成Bunny,Bunny的分发每产生一定利润的BNB按照某个汇率折算成Bunny,这种分发机制将项目与BNB强绑定,存在一定的价值支撑。在5月份的黑客攻击之后,PancakeBunny将分发汇率改为1BNB=15Bunny,按照BNB目前300美元的价格,Bunny的价格应该是20美元。然而目前Bunny的价格是低于这个数字的。

PancakeBunny最辉煌的时候锁仓70亿美元,将以太坊上最大的机枪池Yearn Finance远远抛在身后。如今,PancakeBunny的TVL只有不到7亿美元,Yearn Finance的TVL超过40亿美元。

Merlinlab作为PancakeBunny的仿盘,是否会如前辈一样被市场抛弃抑或走出一条自救道路,拭目以待。

本文链接:https://www.8btc.com/article/6655015
转载请注明文章出处

评论
登录 账号发表你的看法,还没有账号?立即免费 注册
下载
阅读
分享
评论
点赞
上一篇
下一篇