“我杀我自己？”—— MonoX.Finance安全事件分析

前言

11 月 30 日，知道创宇区块链安全实验室 监测到自动做市商协议 MonoX.Finance 遭黑客攻击，损失超 3100 万美元。实验室第一时间跟踪本次事件并分析。

攻击涉及信息

此次安全事件共有两次攻击分别发生在以太坊和 polygon 上。

以太坊攻击交易信息

交易哈希 ：
0x9f14d093a2349de08f02fc0fb018dadb449351d0cdb7d0738ff69cc6fef5f299

黑客地址：
0x8f6a86f3ab015f4d03ddb13abb02710e6d7ab31b

攻击合约地址：
0xf079d7911c13369e7fd85607970036d2883afcfd

polygon攻击交易信息

交易哈希 ：
0x5a03b9c03eedcb9ec6e70c6841eaa4976a732d050a6218969e39483bb3004d5d

黑客地址：
0xecbe385f78041895c311070f344b55bfaa953258

攻击合约地址：
0x119914de3ae03256fd58b66cd6b8c6a12c70cfb2

简述攻击流程

本次攻击分析选用以太坊交攻击交易：
0x9f14d093a2349de08f02fc0fb018dadb449351d0cdb7d0738ff69cc6fef5f299

1、黑客首先通过 swapExactTokenForToken 函数将 0.1WETH 兑换为 79.9MONO

2、重复利用函数 removeLiquidity 移除 Monoswap 合约中的流动性，直至全部