越南时间2023年2月27日下午14时35分，LZ Token记录了一起突发转储事件如下：
Verichains收到信息后进行了原因分析，确定黑客攻击的原因是利用合约的安全错误，临时调用地址为0x6d8981847eb3cc2234179d0f0e72f6b6b2421a01的合约X ，尚未验证。值得注意的是，钱包“LZ Deployer”在1年多前就已经“认可”了非常大量的LZ和BUSD到这个合约中。 Verichains随后将故障分析信息提交给LaunchZone项目，以便其进行修复、补救和减损。
攻击流分析
LZ Token 是在越南时间 2023 年 2 月 27 日 14:32 被标记为
DND Exploiter的地址开采的。 Tx导致LZ Token价格被抛售：https://bscscan.com/tx/0xaee8ef10ac816834cd7026ec34f35bdde568191fe2fa67724fcf2739e48c3cae黑客部署了一个“攻击合约”，LZ Token 攻击执行流程在这个合约中发生如下：
调用查找货币对的函数，在 Biswap 上将 LZ 兑换成 BUSD（暂称 swap 函数）。该功能属于上述合约X， 1年多前，钱包“LZ Deployer”为该合约批准了10亿个LZ，3900万个BUSD。
LZ Deployer 批准 10 亿 LZ 合约：https://bscscan.com/tx/0x3ab13a622105fdcf0293ed1a0a7918375e1a05123160efdc5e23ec121ac6d944
LZ Deployer 批准超过 3900 万 BUSD 的合约：https://bscscan.com/tx/0x444edcefe7de6504ae70deb292c80211dbff0ddb13bf6689cb05d5a068307ca0
黑客调用第 3 方合约的兑换功能兑换 9.8tr LZ，通过 BSW-LP Pair（Biswap）将近 7 BUSD 返还给 LZ Deployer。
之后，黑客将50个BUSD加载到攻击合约中，并立即通过Biswap将50个BUSD兑换成超过980万个LZ。
最终攻击者通过 PancakeSwap 兑换了超过 9.8tr LZ 获得了近 88k BUSD。此时，LZ Token 的价格降低了 46 倍。
当他收集到近 88k BUSD 时，黑客将此代币认领到他的私人钱包中，并执行了自毁攻击合约。
一些相关地址：
+ LZ部署者：0xdad254728A37D1E80C21AFae688C64d0383cc307
攻击者：0x7d192FA3a48C307100C3E663050291Fff786aA1F
攻击合约：0x1C2B102f22c08694EEe5B1f45E7973b6EACA3e92
+合同 X : 0x6D8981847Eb3cc2234179d0F0e72F6b6b2421a01
+ BSW-LP ：0xDb821BB482cfDae5D3B1A48EeaD8d2F74678D593
漏洞和根本原因分析
以上是黑客通过挖矿抛售LZ Token，获利近88k BUSD的行为。下面对漏洞及攻击原因进行详细分析。
我们确定上述合约X是SwapX Proxy合约的执行（未经验证和审计），Proxy将允许用户传输数据并调用执行合约：https: //bscscan.com/address/0x0ccee62efec983f3ec4bad3247153009fb483551
SwapX 是 BSCex 生态中开发的AMM ，LZ 代币集成在这个生态中。
在查看合约的字节码时，可以看到一些安全错误，如下所示：
使用 call 而不是 delegatecall 调用实现
实现中的函数允许每个代理整顿的外部调用
特别是，致命错误来自于以下事实：实现中负责交换功能的函数从任何地址执行 transferfrom() 而不是来自其他交换的 msg.sender 的正常 transferfrom 逻辑。因此，黑客可以通过数据调用传输的控制权“交换”他人。
结合之前使用SwapX的“LZ Deployer”钱包，为这个合约批准了大量的代币兑换，BUSD和LZ代币，黑客用大量的LZ代币换取了BUSD，使得LZ的价格大幅下跌通过 Biswap 对低。然后黑客用 50 BSUD 回购了 980 万个 LZ 代币，最终在 PancakeSwap 的交易所将这 980 万个代币换成了近 88,000 个 BUSD。
Verichains 已向 LaunchZone 项目提交了崩溃分析详细信息，以便它可以进行补救、补救和减少损害。
建议
如果您曾经在 BSCex 上使用过 SwapX，请仔细检查您的钱包，尤其是通过https://defi.krystal.app/token-approval-checker或https://revoke.cash等在线工具撤销之前的批准交易
在生态系统中持有大量硬币的地址在使用时需要小心。
只批准足够执行交易的金额，不批准大金额。
每款产品在上线或受托使用前，都需要经过知名安全公司的安全审核。
==========
关于 Verichains
自 2017 年以来，Verichains 一直是亚太地区先驱和领先的区块链安全公司，在安全、密码学和核心区块链技术方面拥有广泛的专业知识。超过 200 家客户委托我们保护 500 亿美元的资产，其中包括BNB Chain、Klaytn、Wemix、Multichain、Line Corp、Axie Infinity、Ronin Network 和 Kyber Network 等知名客户。
我们世界一流的安全和密码学研究团队在第 1 层协议、加密库、网桥和智能合约中发现了多个漏洞。我们也很自豪能够成为帮助调查、根本原因分析和解决全球最大的两个加密黑客攻击的安全问题的公司： BNB Chain Bridge 和 Ronin Bridge (Sky Mavis)。
随着对区块链技术的深入研发，Verichains提供区块链协议和智能合约安全审计、移动应用保护、密钥管理解决方案、链上风险监控、红队/渗透测试等区块链安全服务。
主页：
https://www.verichains.io
邮箱：info@verichains.io
推特：https: //twitter.com/Verichains
领英：https: //www.linkedin.com/company/verichains
脸书：https: //facebook.com/verichains
电报：https: //t.me/+Y29xcaxJLJxjNDVl
