Uranium平台遭黑The block、慢雾科技解释实际损失情

作者： 火币huobi交易所 日期：2024-12-22 12:19

还原Uranium遭黑原由

根据Uranium官方的说法，此攻击事件是在前协议迁移到V2.1版本的过程中发生的。根据The Block研究员Igor Igamberdiev的说法，遭黑原因可能与Uranium V2交易对（Pair）合约中的某个漏洞有关。

受黑资金：

– 34k WBNB ($18M) 
– 17.9M BUSD ($17.9M) 
– 1.8k ETH ($4.7M) 
– 80 BTC ($4.3M) 
– 26.5k DOT ($0.8M) 
– 638k ADA ($0.8M) 
– 5.7M USDT ( $5.7M) 
– 112k U92

据Igor Igamberdiev 表示，WBNB 与BUSD 还被困在黑客的合约中，基于某些问题无法将其转出。

安全审计公司慢雾科技证实了Igor Igamberdiev的说法，其表示，当用户使用闪电贷向资金池借出资金时，该合约的swap函数在根据恒定乘积公式检查合约余额方面存在精度处理错误的问题，导致最后合约中计算出的余额会比合约实际的余额大100倍。换句话说，如果攻击者使用闪电贷的功能向Uranium的交易对合约中发起借款，最终只需要归还借贷金额的1%即可通过检查，剩余的99%的余额则会被用户收入囊中，导致Uranium资金池的损失。

攻击者在完成攻击之后，透过基于BSC的去中心化交易平台PancakeSwap将BSC链上的DOT和ADA代币转换成ETH（BEP-20版本），然后透过资产跨链协议AnySwap将BEP-20版本的ETH转换成以太坊版本的ETH。成功将ETH转移至以太坊后，黑客又将这些资金（2,438 ETH）转入混币器Tornado Cash，使这笔不法所得难以被追踪。

除此之外，黑客还使用AnySwap 将80 颗BEP-20 版本的比特币转移出BCS 区块链。

根据The Block 的报导，Uranium 的合约代码因不明原因从Github 中删除，不免让人怀疑，此次攻击究竟是团队内部所为还是来自外部黑客的攻击。