北京时间2022年3月13日上午9:04，CertiK安全技术团队监测到Paraluni'sMasterChef?合约遭到攻击，大约170万美元的资金通过多笔交易从该项目中被盗。
下文CertiK安全团队将从该项目的操作及合约等方面为大家详细解读并分析。
合约地址
Masterchef合约:?https://bscscan.com/address/0xa386f30853a7eb7e6a25ec8389337a5c6973421d#code
德国大众汽车南非子公司为新款Polo推出交互式NFT广告活动:金色财经报道，据 NFT evening 消息，德国汽车制造巨头大众旗下南非子公司Volkswagen SA宣布为新款Polo推出交互式NFT广告活动，并且在 OpenSea 上发布了 100 个独特的 NFT，参与者可以找到隐藏在广告中的 NFT 截图并发布到大众汽车官方社交媒体账户以赢取奖品。据悉，100 枚 NFT 中有三个是“黄金级 NFT”，最先找到的人可以拿到PlayStation 5 和大众汽车高级驾驶课程等奖励。[2022/4/15 14:27:31]
攻击者部署了两个恶意的代币合约UGT和UBT。
动态 | 南非女性亿万富翁在投资BTC亏损后已后悔其投资选择:南非女性亿万富翁Magda Wierzycka在投资比特币遭受巨额损失后已后悔了自己的选择。这位金融服务公司Sygnia Asset Management的首席执行官兼联合创始人将加密货币称为其投资组合里最大的“骷髅”。据悉，Wierzycka的第一个比特币是以4000美元左右的价格购买，其最后一次购买尝试则是在BTC价格为18000美元左右时。由此可推测，这位女性亿万富翁很可能在2017年12月历史性的牛市期间购买了她的最后一枚比特币，当时比特币曾一度逼近2万美元的历史高点，但之后BTC的价格暴跌至3100美元。 Wierzycka表示，把比特币贴上数字黄金的标签是一种，她自己也被了。她已不再相信加密货币，尤其是比特币——“我损失了这么多钱，我不再相信比特币了”。（Todays Gazette）[2019/8/25]
在UBT代币合约中，有两个恶意的函数实现：
动态 | 南非交易所增加与美元挂钩的比特币产品:据businesslive消息，约翰内斯堡加密货币交易所AltCoinTrader已向其平台添加了与美元挂钩的比特币产品，以吸引外国投资者并降低比特币在当地市场的溢价。AltCoinTrader的合伙人Richard de Sousa表示，由于供需动态，比特币的价格往往比SA高出6％-7％。[2018/8/6]
????1.在"transferFrom()"函数中，攻击者实现了对MasterChef的"deposit()"函数的调用，以存入LP代币。
????2.一个"withdrawAsset()"函数，将调用Masterchef的"withdraw()"来提取存入的LP代币。
攻击阶段:
攻击者利用闪电贷获得了156,984BSC-USD和157,210BUSD。
攻击者向ParaPair发送通过闪电贷获得的BSC-USD和BUSD代币，并收到155,935枚LP代币作为回报。
然后，攻击者调用"depositByAddLiquidity()"函数，将LP代币存入资金池。
???????1.在调用此函数时：输入参数“_pid”为18，“_tokens”为。
????????2.因为depositByAddLiquidity()会调用“UBT.transferFrom()”函数,因此MasterChef.deposit()函数会被触发并且向合约存入155,935LP代币。
???????3.因此,155,935LP代币被存入了两次并且攻击者获得了两份“userInfo”的记录(一次是从UBT,另一次是从攻击者的合约）。
最后，攻击者提取了两次:
???????1.?第一次是通过函数“UBT.withdrawAsset()”。
???????2.另一个是来自攻击者对“Masterchef.withdraw()”函数的调用。最后，攻击者删除了流动资金并返还了闪电贷。
`depositByAddLiquidity()`函数通过调用`addLiquidityInternal()`函数，触发了传入恶意代币的“transferFrom”函数，进而导致了重入的问题。因此，同一份LP代币被存入两次。
BNB仍然在攻击者在BSC的地址中，235个ETHs则通过Birdge转移到以太坊，并通过Tornado进行洗白。
时刻关注函数的外部输入，尽量避免传入合约地址作为参数。
关注外部调用，为所有可能出现重入危险的外部调用函数加上“nonReentrant”修饰函数。
本次事件的预警已于第一时间在CertiK项目预警推特进行了播报。
除此之外，CertiK官网https://www.certik.com/已添加社群预警功能。在官网上，大家可以随时看到与漏洞、黑客袭击以及RugPull相关的各种社群预警信息。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。