智能合约漏洞案例，跨链桥 Allbridge 57 万美元漏洞分析

智能合约漏洞案例，跨链桥 Allbridge 57 万美元漏洞分析

事件背景

Safful区块链安全情报平台监控到消息，北京时间 2023 年 4 月 1 日，BSC 链上 Allbridge 跨链桥受到黑客攻击，攻击者获利约 57 万美元，攻击者地址为 0xc578d755cd56255d3ff6e92e1b6371ba945e3984，被盗资金转移至 Tornado.cash 混币平台。Safful安全团队及时对此安全事件进行分析。

合约漏洞

合约中执行兑换操作函数 swapToVUsd 中计算兑换结果方式为合约中当前记录 BUSD 余额与计算转入 token 后的数量转换为 BUSD 的差值得到的，因此攻击者通过存取大量资金以及进行大量代币兑换实现对池子中代币价格控制。

攻击步骤

1. 攻击者通过闪电贷借出 7,500,000 BUSD
   
2. 将 2,003,300 BUSD 兑换为 2,000,296 USDT，此时合约中 BUSD 余额为 11,405,966，USDT 余额为 8,296,249