越南時間2023年2月27日下午14時35分，LZ Token記錄了一起突發轉儲事件如下：
Verichains收到信息後進行了原因分析，確定黑客攻擊的原因是利用合約的安全錯誤，臨時調用地址為0x6d8981847eb3cc2234179d0f0e72f6b6b2421a01的合約X ，尚未驗證。值得注意的是，錢包“LZ Deployer”在1年多前就已經“認可”了非常大量的LZ和BUSD到這個合約中。 Verichains隨後將故障分析信息提交給LaunchZone項目，以便其進行修復、補救和減損。
攻擊流分析
LZ Token 是在越南時間 2023 年 2 月 27 日 14:32 被標記為
DND Exploiter的地址開采的。 Tx導致LZ Token價格被拋售：https://bscscan.com/tx/0xaee8ef10ac816834cd7026ec34f35bdde568191fe2fa67724fcf2739e48c3cae黑客部署了一個“攻擊合約”，LZ Token 攻擊執行流程在這個合約中發生如下：
調用查找貨幣對的函數，在 Biswap 上將 LZ 兌換成 BUSD（暫稱 swap 函數）。該功能屬於上述合約X ，1年多前，錢包“LZ Deployer”為該合約批准了10億個LZ，3900萬個BUSD。
LZ Deployer 批准 10 億 LZ 合約：https://bscscan.com/tx/0x3ab13a622105fdcf0293ed1a0a7918375e1a05123160efdc5e23ec121ac6d944
LZ Deployer 批准超過 3900 萬 BUSD 的合約：https://bscscan.com/tx/0x444edcefe7de6504ae70deb292c80211dbff0ddb13bf6689cb05d5a068307ca0
黑客調用第 3 方合約的兌換功能兌換 9.8tr LZ，通過 BSW-LP Pair（Biswap）將近 7 BUSD 返還給 LZ Deployer。
之後，黑客將50個BUSD加載到攻擊合約中，並立即通過Biswap將50個BUSD兌換成超過980萬個LZ。
最終攻擊者通過 PancakeSwap 兌換了超過 9.8tr LZ 獲得了近 88k BUSD。此時，LZ Token 的價格降低了 46 倍。
當他收集到近 88k BUSD 時，黑客將此代幣認領到他的私人錢包中，並執行了自毀攻擊合約。
一些相關地址：
+ LZ部署者：0xdad254728A37D1E80C21AFae688C64d0383cc307
攻擊者：0x7d192FA3a48C307100C3E663050291Fff786aA1F
攻擊合約：0x1C2B102f22c08694EEe5B1f45E7973b6EACA3e92
+合同 X : 0x6D8981847Eb3cc2234179d0F0e72F6b6b2421a01
+ BSW-LP ：0xDb821BB482cfDae5D3B1A48EeaD8d2F74678D593
漏洞和根本原因分析
以上是黑客通過挖礦拋售LZ Token，獲利近88k BUSD的行為。下面對漏洞及攻擊原因進行詳細分析。
我們確定上述合約X是SwapX Proxy合約的執行（未經驗證和審計），Proxy將允許用戶傳輸數據並調用執行合約：https: //bscscan.com/address/0x0ccee62efec983f3ec4bad3247153009fb483551
SwapX 是 BSCex 生態中開發的AMM ，LZ 代幣集成在這個生態中。
在查看合約的字節碼時，可以看到一些安全錯誤，如下所示：
使用 call 而不是 delegatecall 調用實現
實現中的函數允許每個代理進行整頓的外部調用
特別是，致命錯誤來自於以下事實：實現中負責交換功能的函數從任何地址執行 transferfrom() 而不是來自其他交換的 msg.sender 的正常 transferfrom 邏輯。因此，黑客可以通過數據調用傳輸的控制權“交換”他人。
結合之前使用SwapX的“LZ Deployer”錢包，為這個合約批准了大量的代幣兌換，BUSD和LZ代幣，黑客用大量的LZ代幣換取了BUSD，使得LZ的價格大幅下跌通過 Biswap 對低。然後黑客用 50 BSUD 回購了 980 萬個 LZ 代幣，最終在 PancakeSwap 的交易所將這 980 萬個代幣換成了近 88,000 個 BUSD。
Verichains 已向 LaunchZone 項目提交了崩潰分析詳細信息，以便它可以進行補救、補救和減少損害。
建議
如果您曾經在 BSCex 上使用過 SwapX，請仔細檢查您的錢包，尤其是通過https://defi.krystal.app/token-approval-checker或https://revoke.cash等在線工具撤銷之前的批准交易
在生態系統中持有大量硬幣的地址在使用時需要小心。
只批准足夠執行交易的金額，不批准大金額。
每個產品在推出或被信任使用之前都需要經過信譽良好的安全公司的安全審計。
==========
關於 Verichains
自 2017 年以來，Verichains 一直是亞太地區先驅和領先的區塊鏈安全公司，在安全、密碼學和核心區塊鏈技術方面擁有廣泛的專業知識。超過 200 家客戶委託我們保護 500 億美元的資產，其中包括BNB Chain、Klaytn、Wemix、Multichain、Line Corp、Axie Infinity、Ronin Network 和 Kyber Network 等知名客戶。
我們世界一流的安全和密碼學研究團隊在第 1 層協議、加密庫、網橋和智能合約中發現了多個漏洞。我們也很自豪能夠成為幫助調查、根本原因分析和解決全球最大的兩個加密黑客攻擊的安全問題的公司： BNB Chain Bridge 和 Ronin Bridge (Sky Mavis)。
隨著對區塊鏈技術的深入研發，Verichains提供區塊鏈協議和智能合約安全審計、移動應用保護、密鑰管理解決方案、鏈上風險監控、紅隊/滲透測試等區塊鏈安全服務。
主頁：
https://www.verichains.io
郵箱：info@verichains.io
推特：https: //twitter.com/Verichains
領英：https: //www.linkedin.com/company/verichains
臉書：https: //facebook.com/verichains
電報：https: //t.me/+Y29xcaxJLJxjNDVl
