概括
最近對 WOO 建構的去中心化應用程式 WOOFi 的攻擊引起了去中心化金融（DeFi）領域的擔憂。攻擊者操縱了 WOOFi 互換合約，導致約 900 萬美元的損失。這篇部落格文章深入研究了攻擊的細節，檢查了攻擊者的行為和所利用的漏洞。
項目：WOOFi
鏈：Arbitrum
攻擊者：0x9961190B258897BCa7a12B8f37F415E689D281C4
Tx攻擊：0xe80a16678b5008d5be1484ec6e9e77dc6307632030553405863ffb38c1f94266
被攻擊合約：0xeff23b4be1091b53205e35f3afcd9c7182bf3062
深入理解
攻擊者行為
準備階段：
攻擊者透過閃電貸獲取資金發動攻擊。
募集資金總額為10,504,796 USDC.e 和2,721,172 WOO。
攻擊者在 Slio Finance 抵押了7,000,000 USDC.e，使用抵押的USDC.e 借入了5,092,663 WOO。
價格操縱 WOO 代幣：
攻擊者利用300,000 USDC.e，在 WOOFi 的交換功能中執行了多次交換操作。將WOO價格從56,884,100上調至60,400,479 。
實際攻擊發生在攻擊者將8,196,117 WOO 換回USDC時。這導致 WOO 的價格下跌，達到0.00000007 ，跌幅為 862 萬倍。
最後，攻擊者使用少量USDC.e 透過交換獲得了超過8,574,462 WOO。隨後，攻擊者償還了最初借入的資金，最終套現並攜款潛逃。
漏洞分析
合約程式碼的檢查發現，在將 BaseToken 轉換為 QuoteToken _calcBaseAmountSellQuote函數期間，價格資料處理機制有缺陷。
此模型的主要漏洞是直接根據價格進行乘除計算金額，這樣交換過程中不會出現滑點，但價格會隨著匯率的變化而變化。
WOOFi 團隊立即透過刪除常數係數解決了這個問題，其 GitHub 儲存庫上的提交就證明了這一點。
結論
總之，對 WOOFi 的攻擊凸顯了去中心化應用程式中經濟模型計算缺陷可能產生的漏洞。攻擊者對代幣價格的操縱以及隨後資金的流失凸顯了 DeFi 項目中強有力的安全措施的重要性。
Verichains 團隊定期更新他們已評估和目前正在審核的專案中發現的最新漏洞，以及來自區塊鏈安全社群的資訊。
