币安智能链上的去中心化借贷协议 Qubit Finance 28 日宣布，遭到闪电贷攻击，损失金额高达 8,000 万美元，为史上第七大 DeFi 盗窃事件。项目方表示，目前团队将继续跟踪并监控窃盗者窃走的资产，团队也表示，会持续与安全、网路合作伙伴展开下一步追查工作。
建立在币安智能链 BSC 上的去中心化借贷协议 Qubit Finance 今（28）日惊传遭闪电贷攻击，因为 QBridge 产生的漏洞，让 Qubit Finance 损失高达 8,000 万美元。Qubit Finance 官方在推特上证实此事，除了找出盗窃者、持续追踪窃走的资产外，团队也表示将与安全、网路合作伙伴展开下一部追查工作。
损失 8,000 万美元，为史上第七大 DeFi 窃盗案件
团队 28 日凌晨在官方推特上表示：
Qubit 协议被地址 0xd01ae1a708614948b2b5e0b7ab5be6afa01325c7 给窃走资金，骇客在 BSC 链上铸造并借走了大量的 xETH。团队目前已经和安全与网路领域的合作伙伴展开下一步追查工作。我们会继续分享进一步的资讯。
而在官方团队发布此一讯息前，区块链安全和智能合约审计公司 PeckShield 早就发推文证实此一事件，PeckShield 称：
看起来骇客入侵 Qubit Finance 的 QBridge 铸造了大量 xETH 抵押品，接续从 Qubit Finance 的资金池中转走约 8,000 万美元等值 BNB 代币。请注意，我们审计的是 Qubit 借贷平台，而不是 QBridge！有资讯会再持续更新。
随后，Qubit Finance 再发文更新称：
团队将继续跟踪并监控窃盗者窃走的资产，团队也已联繫窃盗者并提供公司所能给予的最高赏金。
此推文一出，遭到社群无情谩骂，有网友在留言串称，“这已经是你这 7 个月以来的第 3 次了，给你个提示吧，窃盗者就在你们公司内”、有网友还附和道“这 100% 是内部人搞的鬼”。
与网友说的相同，据监控 DeFi 漏洞消息源 RugDoc 表示，此次是基于 BSC 的 PancakBunny 协议第三或第四次遭到骇客攻击。
据 Bscscan 网站，盗窃者钱包地址目前共有 206,809.58 BNB，据截稿前，美元价值超过 7,968 万美元，成为在 DeFi 历史上第七大被骇事件。
据 Coinmarketcap 数据，Qubit Finance 在过去几个小时暴跌 31%，现报 0.0046 美元，据 9 月的高点 0.58 美元，已经下跌 99.2%。
慢雾分析被盗原因
据区块链安全公司慢雾科技分析，骇客是利用了 QBridge 上的漏洞，制造出了大量的 xETH ，随后至 Qubit Finance 的借贷池换取大量 BNB 出来。
骇客首先透过 QBridge 上的合约进行 ETH 存款，并在存入时传了所要跨的目标链和遇跨链的资产 resourceID 与跨链资金数量与接受地址等数据。
骇客指定传入的 resourceID 应为跨 ETH 代币所需要的值，但因为调用的是 QBridge 的 deposit 函数而非 depositETH 函数，因此绕过了跨链资金数量与 msg.value 的检查。
Deposit 函数中会根据 resourceID 取出的所要充值的代币并检查是否在白名单内，由于攻击者传入的 resourceID 对应 ETH，因此映射中取出的所要充值的代币为 0 地址，即会被认为是充值 ETH 而通过了白名单检查。
随后直接通过 safeTransferFrom 调用了所要充值的代币的 transferFrom 函数。
由于代币为 0 地址，执行结果都会为 0，因此触发的 Deposit 事件会与真正充值 ETH 相同，这让 QBridge 认为攻击者进行了 ETH 跨链，因此在 BSC 链上为攻击者铸造了大量的 qXETH 代币。攻击者最后利用此 qXETH 凭证挪走了Qubit 的借贷池。
区块链安全公司慢雾团队最后也建议协议在对充值代币进行白名单检查后仍须对是否为充值 native 代币进行检查，以避免诸如此类的事件再度发生。
