SharkTeam独家分析丨闪电攻击-Bogged Finance被黑事件分析

北京时间5月22日，BSC 链上的 DeFi 和预言机项目Bogged Finance 遭到闪电兑攻击。受攻击事件的影响，BOG的价格闪崩，险些归零，从8.5 美元跌至0.15美元，跌幅达到 98%。

SharkTeam第一时间对此事件进行了攻击分析和技术分析，并总结了安全防范手段，希望后续的区块链项目可以引以为戒，共筑区块链行业的安全防线。

一、事件分析

（1） 攻击者在 PancakeSwap 中分 11 笔，总计Swap出47770个BOG；

（2） 分 9 笔将共计 88,159.43 WBNB 和 421,761.33 BOG 在 PancakeSwap 中为WBNB/BOG 交易对添加流动性并获得对应的 83,440.57 LP Token；

（3）之后攻击者操作了 400多笔自我转账，共计转账 180多万 BOG，并获的 15.1 万 BOG的流动性奖励；

（4）攻击者将赃款兑换为 WBNB，并通过 Nerve分批次转换为以太坊上的 ETH，完成资产转移。

（5）如上攻击流程分析，攻击者发动数量众多的自我转账，是一种目的明显的骗取交易费的攻击行为；进一步考虑，可能是攻击者发现 BOG的流动性资产分配的计算逻辑的问题并进行攻击套利。如此，我们分析了BOG代币的合约。合约中写的很明确：对所有交易收取 5% 的交易额作为交易费用，其中 4% 按比例分配给流动性提供者，1% 被烧毁。

然而在本次攻击交易中，Bogged Finance却仅收取了 1% 的交易额作为交易费用，却仍然分配给包括攻击者在内的流动性提供者额外的 4% 作为奖励，奖励比率超过了交易费比率，存在严重的逻辑漏洞，攻击者通过多次重复地自我转账，获得了流动性池中本不属于他的资产。

二、SharkTeam区块链安全知识课堂

此次事件是一次“闪电兑”攻击事件，大家可能对“闪电贷”比较熟悉，对“闪电兑”比较陌生。其实“闪电贷”和“闪电兑”都是“闪电家族”的一员，除“闪电贷”和“闪电兑”外，还有“闪电铸”。

（1） 闪电贷（Flash Loan）

众所周知，简单来说闪电贷就是从借贷协议中借到足量的资金，并在一个区块内将资金如数奉还，盈利归借贷者所有。近年来，黑客使用闪电贷对诸多 DeFi 协议进行了攻击，造成了大量的资金损失，可以说是谈闪电贷色变。

在具体使用层面，闪电贷的借贷方，例如去中心化借贷平台 Aave 对闪电贷会收取 0.09% 的费用。常规的闪电贷套利，至少需要三步操作:

1) 在 Aave 等支持闪电贷的借贷协议上借款；

2) 在去中心化的交易平台进行交易；

3) 在另一个去中心化的交易所进行套利以实现利润。同时闪电贷必须用借出的资产偿还。如果借 Dai，需要用 Dai 偿还贷款。

（2）闪电兑（Flash Swap）

由 Uniswap 提出的闪电兑与闪电贷的差异较小。就像在 Uniswap 文档中所说的那样，闪电兑没有固定费用，而是收取交换费用。与闪电贷相比，这可以看作是一笔「免费」贷款，因为交易费已经从交易中扣除，不需要再单独支付借贷利息。

最后一点不同之处在于，闪电兑可以用交换过程中的任何一种代币来偿还。如果在闪电兑中用 ETH 购买 Dai，那么最后可以用 Dai 或者 ETH 偿还贷款。这让用户可以更容易的做复杂的操作。

（3）闪电铸（Flash Mint）

由Austin Williams提出，据介绍与举例说明，与上述两者不同，闪电铸首先需要引入新代币 fWETH，Flash-mintable token(FMTs) 是允许闪电铸的 ERC20 代币，任何人都可以在其账户中铸造任意数量的新代币，只要他们在一笔交易结束前，从其账户中销毁相同数量的代币即可。相较于闪电贷，闪电铸的特点有：不需要流动性池背书；最多可以铸出 2 的 256 次方-1 枚代币；只能与继承了 fWETH 的合约交互使用（未大规模应用的原因）；不同于闪电贷将技术风险置于借贷平台，闪电铸的技术风险在 fWETH 的持有者手中。

三、安全建议

智能合约安全关系用户的财产安全，至关重要！区块链项目开发者应与专业的安全审计公司合作，为用户的数字资产安全和项目本身安全提供保障。

SharkTeam作为领先的区块链安全服务团队，为开发者提供智能合约审计服务。智能合约审计服务由人工审计和自动化审计构成，满足不同客户需求，独家实现覆盖高级语言层、虚拟机层、区块链层、业务逻辑层四个方面111项审计内容，全面保障智能合约安全。

n SharkTeam为客户提供高级别的区块链安全服务，区块链安全专家团队7*24小时为智能合约提供全生命周期的安全保障，服务包括：VIP安全审计服务、VIP合规审计服务、安全事故应急响应等。

n SharkTeam也提供自动化审计工具，自动化审计以云服务的方式为用户提供服务。运用符号执行、形式化验证等智能合约分析技术，满足开发者智能合约日常审计需求。