雪崩鏈（AVAX）今早被揭一個合約地址借 5,100 萬美元閃電貸攻擊套利並轉走 37 萬枚 USDC，當中涉及去中心化交易所 Trader Joe 、DeFi 協議 Nereus Finance、穩定幣兌換協議 Curve Finance。最終漏洞疑似出自 Nereus Finance 代碼，但官方截稿前仍未有任何回應。
（前情提要：算法穩定幣Nirvana遭閃電貸攻擊，官方證實：損失350萬鎂、願付白帽駭客30萬鎂）
（背景補充：解析閃電貸》今年DeFi被盜最高破1.2億鎂，去中心化金融成「駭客」斂財神器？）
據專門即時追蹤鏈上攻擊事件的推特帳號 CertiK Alert ，今（7）日早上 8 點發推文，發現在雪崩鏈上發現一個合約透過雪崩鏈（Avalanche），借 5,100 萬美元閃電貸攻擊套利並轉走 37 萬枚 USDC，當中涉及去中心化交易所 Trader Joe 、Defi 協議 Nereus Finance、穩定幣兌換協議 Curve Finance。
CertiK Skynet has reported a #flashloan attack on #AVAX impacting contract 0xe767c… & some LPs. The attacker profited ~$370k USDC.
Possible impacted protocols include:@nereusfinance @traderjoe_xyz @CurveFinance
Contact us for analysis.Stay Frosty!
pic.twitter.com/bZvtgVPpl4
— CertiK Alert (@CertiKAlert) September 7, 2022
37 萬 USDC 跨鏈轉出後下落不明
駭客部署合約，操作合約地址從 Aave 協議借出 5,100 萬枚 USDC ，透過 Trader Joe 的協議，先後把 28,000 和 260,000 換成 WAVEX，然後再換成 Nereus Finance 的算法穩定幣 NXUSD，再透過 Curve Finance 換入再換出，最後把借來的 5,100 萬 USDC 全數還給 AAVE，還款全數完成後將餘額 37 萬 USDC 轉至 0x8ec 開頭地址。
而得手錢包中的 37 萬 USDC，當中有 9 萬跨鏈到以太坊轉走，另外 23 萬則透過跨鏈橋 Stargate 轉至其他鏈，如今錢包只剩約 2,711 枚 AVAX（等值 $49,777.57 美元）。
疑 Nereus Finance 代碼出現漏洞
推特用戶 @0xEdwardo 在 CertiK Alert 推文下推測 Nereus Finance 的協議中 Abracadabra 代碼存在未經授權的分支，以致駭客有機可乘。此外，他又確認沒有出現透過 MIM 進行 LP 代幣價格操縱影響的情況。
This appears to be an unauthorized fork of Abracadabra’s code run by @nereusfinance. We have confirmed that none of the @MIM_Spell cauldrons are vulnerable to this type of LP token price manipulation.
Vulnerability is related to: https://t.co/WFUpF7vvq3
— 0xidkfa (@0xidkfa) September 7, 2022
Nereus Finance 官方截稿前未有回應
值得留意的是，Nereus Finance 昨（6）晚推出利用 Trader Joe 的 USDC/AVAX JOE LP 代幣，可零利息借用其算法穩定幣 NXUSD。
We got a new way to use a JOE LP token!! Now you can use USDC/AVAX LP token as collateral to borrow NXUSD #stablecoin at 0% rates!
Explore: https://t.co/RYOWFLE1Z2#StableCoin #AVAXUSDC #AVAX #USDCoin #JOE pic.twitter.com/aHOER4ms9U— Nereus Finance (@nereusfinance) September 6, 2022
相關報導
Solana | Crema Finance 遭閃電貸損超600萬鎂、TVL 降70%，官方 : 已暫停 展開調查
Crema Finance 駭客洗白！歸還 800 萬鎂被盜資產，官方 : 將提補償方案、重啟協議
