事件概述

北京时间 2022 年 8 月 8 日，BSC 链上的 EGD Finance 加密项目疑似遭到黑客攻击，攻击者通过闪电贷套利叠加合约逻辑漏洞，在短时间内持续从项目资金池中抽取收益，最终获利超过 36,000 BUSD。零时科技安全团队在第一时间捕获该事件并对攻击交易进行了复盘分析。

攻击手法

  1. 攻击者通过闪电贷借出大额 WBNB 作为初始资金。

  2. 将 WBNB 兑换为 EGD 代币，并调用 harvest() 函数获取收益。

  3. 由于奖励计算基于池内瞬时价格，攻击者通过操纵预言机价格放大了实际收益。

  4. 循环执行上述步骤多次后归还闪电贷，剩余差额即为获利。

漏洞根因

收益计算未使用 TWAP（时间加权平均价格），且未对单笔收获的金额设置上限，导致价格被瞬时操纵后奖励被无限放大。

安全建议

  • 涉及价格计算的合约应使用链上 TWAP 预言机或 Chainlink 喂价。

  • 对单笔交易中的收益/铸造额度设置上限。

  • 上线前进行专业的智能合约安全审计与链上监控。

零时科技安全团队将持续跟进该事件的资产流向，并协助受影响项目进行紧急响应。