BNB链上InsurancePool遭闪电贷攻击被抽走260.21 BNB

260.21 BNB流出保险池

11月4日,BNB Chain上的InsurancePool合约遭闪电贷攻击,一笔260.21 BNB(时价约18.03万美元)经由异常放大的赎回支付被转出,链上口径的金库净流出约为17.95万美元。BNB价格本身并非操纵对象,攻击者扭曲的是单一协议内部读取的价格,而非该币的市场行情。安全公司CertiK与链上分析账号Onchain Lens在转账发生后数小时内先后标记了这起事件。受损的DeFi保险合约位于CoreVault之后,这是一个按自身读取的池子价格为赎回定价的金库,攻击正是落在这个读取环节。重构后的攻击链条从一笔借款开始:攻击者通过Lista DAO旗下借贷市场Moolah借入约1.436亿美元的封装BNB(WBNB)。闪电贷无需抵押,必须在同一笔交易内偿还,钱包因此能在几秒钟内租用这个量级的资金。借来的WBNB随后被投入超大笔的swap,冲击一个流动性池,把池内报价拖离市场水平。池子按自身储备机械地计算兑换价,一笔足够大的交易就能把报价推向交易者想要的任何位置。WBNB是BNB的封装形态,让该币能在链上各类DeFi服务中流通。CertiK的测算显示,赎回金额因此被抬至正常规模的约33倍,金库正是以此从自身持有的BNB储备中支付了260.21 BNB。提款完成后,攻击者反向执行swap,偿还1.436亿美元贷款,在扣除gas之前落袋160.26 BNB,约11.1万美元利润。这一序列中的所有数字目前均未经金库运营方确认,全部依赖第三方链上测量。

33倍赎回背后的攻击机理

赎回是攻击者利用的操作:合约按自行计算的汇率把持仓换回底层资产。CoreVault的汇率取自被操纵的流动性池,超大笔swap因此直接决定了InsurancePool必须支付的金额。CertiK的警报将结果定性为由闪电贷资金推动的预言机攻击,把CoreVault的赎回额推至正常规模的约33倍。这套手法并非什么高深的DeFi工程,症结在于合约把单一池子的瞬时价格当作预言机来读取。价格被拉偏之后,260.21 BNB(约18.03万美元)的提款经由CoreVault完成,攻击者随即反向跑完swap,在同一交易内结清Moolah的1.436亿美元贷款,在扣除gas之前留下约160.26 BNB(接近11.1万美元)。借款、swap、赎回、反swap、还款,每一步都装进同一个区块。链上轨迹是公开的:区块浏览器记录显示,260.21 BNB转账的时间戳为11月4日6:50:20(日本时间),即11月3日21:50:20(UTC),Onchain Lens在其链上拆解中列出了完整的五步流程。该账号还公布了发起攻击的钱包及资金流向的地址,任何人都可以在浏览器上直接追踪这些钱包在后续动向发生时的实时情况。CertiK同日就此事发布了自身的安全警报。InsurancePool与CoreVault的运营方均未发布官方损失报告、资金追回进展或事后复盘。在这类报告出现之前,已确认的图景止步于链上转账,17.95万美元的净流出仍是第三方测量,而非团队自己的核算。此次事件为本季度BNB生态乃至更广泛的山寨币市场累积的攻击记录又添一笔。

链上证据充分,团队复盘缺位

根因已由链上证据和CertiK的分析基本说清:一个由单一池子现货价定价的赎回引擎,等于一个任何手握足够大闪电贷的人都能改写的预言机;33倍的赔付说明,即便只为几秒钟借入1.436亿美元,这次改写依然有利可图。此类事件的标准补救,包括以时间加权或多市场喂价计算赎回、并对单笔赎回流出设置上限,在这里仍未得到确认,因为两家运营方均未披露任何改动。在团队复盘出炉之前,已确认的记录保持有限,数字也应止于此:260.21 BNB(约18.03万美元)流出InsurancePool,金库净减少约17.95万美元,160.26 BNB落入攻击者手中。