諾瓦克事件 - 價格操縱 人們對諾瓦克公司的價格操縱行為感到憤怒。據報道,該公司故意操縱其產品的價格,以獲取更高的利潤。這種行為不僅損害了消費者的利益,也損害了整個市場的公平競爭。專家表示,諾瓦克公司的行為可能會給該行業帶來嚴重的 Dent。政府已經介入調查此事,並將對違法行為採取嚴厲的懲罰措施。

幣安智能鏈上的去中心化金融 (DeFi) 項目Novax於 2024 年 8 月 14 日遭受攻擊，估計損失約 25,000 美元。該事件凸顯了該協議的預言機和質押機制中的漏洞，強調了 DeFi 項目需要更強大的安全措施。

概述

攻擊者：

https://bscscan.com/address/0x81ca56b6973ff63e3ff2b3f99cb6a6d211269e79

脆弱合約：

https://bscscan.com/address/0x55c9eebd368873494c7d06a4900e8f5674b11bd2

交易攻擊： https://bscscan.com/tx/0xb1ad1188d620746e2e64785307a7aacf2e8dbda4a33061a4f2fbc9721048e012

漏洞分析

攻擊很簡單：攻擊者使用閃電貸從 USDT-BUSD 對中借入USDT ，購買 NovaX 代幣，質押一半的 NovaX 餘額，出售另一半，然後提取資金。

該合約允許立即質押和提取 NovaX 代幣，從而利用價格操縱。我們檢查了質押和提取邏輯：

質押邏輯記錄了質押的 NovaX 代幣數量，參考 Oracle 提供的價格。

然而，Oracle 根據配對中的代幣儲備來計算價格，將代幣 A 的數量除以代幣 B 的數量，從而很容易通過閃電貸進行操縱。

同樣，withdraw 函數會根據 Oracle 的實時價格來計算需要領取的 token 數量，這樣攻擊者就可以輕鬆控制輸出，從而獲取大量的 token。

這些漏洞的根本原因是，stake 和 withdraw 函數都是基於不可靠的 Oracle 來計算代幣金額的值。

經驗教訓

此次事件凸顯了 DeFi 中強大的價格預言機機制的重要性。依賴易受操縱的預言機（尤其是通過閃電貸）會帶來嚴重漏洞。為了增強安全性，請探索去中心化的預言機網絡，實施熔斷機制和時間延遲，並確保進行全面的測試和審計。這些措施將增強 DeFi 項目的彈性，保護用戶資產並維護對生態系統的信任。