PancakeBunny - REKT

“¿No son los Flash loans Ear-ritantes...?” dijo el hacker.

$45 millones han desaparecido de Pancake Bunny Finance.

Esto fue posible debido a un bug en el protocolo que utiliza PancakeSwap para obtener los precios de los proveedores de liquidez de PancakeSwap (BNB-BUSDT/BNB-BUNNY).

8 flash loans fueron usados para manipular los precios de varias pools de PancakeSwap, creando un cálculo distorsionado de BUNNY desde la bóveda VaultFliptoFlip.

Esto llevó a la acuñación de 697,000 tokens BUNNY, que luego fueron vendidos, causando una caída en el precio de $146 a $6.

Crédito: Peckshield

Transacción en BSCScan.

Paso 1: Toma 8 diferentes flash loans:

Los primeros siete flash loans son tomados de varias pools de PancakeSwap mientras que el último viene de Fortube Bank.

1.05M WBNB de la pool WBNB+CAKE

522.52K WBNB de la pool WBNB+BUSD

210.16K WBNB de la pool WBNB+ETH

133.50K WBNB de la pool WBNB+BTCB

241.02K WBNB de la pool WBNB+SAFEMOON

98.519K WBNB de la pool WBNB+BELT

66.29K WBNB de la pool WBNB+DOT

2.96M USDT del Fortube Bank.

Paso 2: Deposita 2.96M USDT y 7886 WBNB en la pool WBNB+BUSDT como liquidez y acuña 144.45K tokens LP.

Paso 3: Cambia 2.32M WBNB por 3.83M BUSDT vía la misma pool WBNB+BUSDT para que la pool tenga una reserva lo suficientemente grande de WBNB, que es usado para influenciar la valoración de los tokens de la pool.

Paso 4: Llama getReward() para reclamar las ganancias de VaultFlipToFlip. Con la valoración aumentada del token LP, el agresor es capaz de reclamar la ganancia de 6.97M BUNNY (valuado en $1+B). Nótese que el equipo dev obtiene otros 1.05M BUNNY.

Paso 5: Devuelve los flash loans del Paso 1 a las pools de PancakeSwap y al Fortube Bank.

El botín del agresor fue inicialmente guardado en esta wallet: 0xa0acc61547f6bd066f7c9663c17a312b6ad7e187

En su punto más alto, Pancake Bunny tenía arriba de $10 billones en TLV.

Al momento de redacción de este artículo, ese TVL había bajado a poco más de $1 billón.

Incluso una auditoría Haechi no pudo proteger al Pancake Bunny del grandioso poder de un ataque de flash loan, lo que les hace ganar su entrada en empate a la tercera posición en el rekt leaderboard.

Ayer fue un día brutal para todos los mercados crypto, pero los usuarios de BSC en particular se deben de haber sentido bajo fuego, con Venus Protocol y “wArOnrUgS” desmoronándose con horas de diferencia.

Nuestros lectores leales habrán notado que su autor desafortunadamente no se encontraba disponible en este día tan concurrido.

Siempre estamos reclutando miembros de la comunidad para nuestra investigación y departamentos OPSEC.

¿Nos ayudarías en nuestro afán de documentar la corrupción y la explotación en crypto y DeFi?

Si tienes alguna sugerencia o contribución a nuestro leaderboard o contenido en general, por favor añádelas al rekt repo, o contáctanos en Twitter, Telegram, o vía email usando la dirección de abajo.

FE DE ERRATAS - 18 Julio 2021

Haechi nos contacto con la siguiente declaración:

Auditamos sus smart contracts y publicamos un reporte. Esto advertía que hay contratos externos sin auditar y editables y la función “helper” es vulnerable a los ataques de flash loans. El equipo de Pancake Bunny actualizó sus smart contracts y eligió otro equipo de auditoría para los contratos actualizados. Este flash loan fue causado por nuevos smart contracts que no auditamos nosotros.

Se pueden encontrar los detalles aquí.

REKT sirve como plataforma pública para autores anónimos, nos deslindamos de la responsabilidad por las opiniones y contenidos alojados en REKT.

dona (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

aviso legal:

REKT no es responsable ni culpable de ninguna manera por cualquier Contenido publicado en nuestro Sitio Web o en conexión con nuestros Servicios, sin importar si fueron publicados o causados por Autores ANÓN de nuestro Sitio Web, o por REKT. Aunque determinamos reglas para la conducta y publicaciones de los Autores ANÓN, no controlamos y no somos responsables por cualquier contenido ofensivo, inapropiado, obsceno, ilegal o de cualquier forma objetable, que se pudiera encontrar en nuestro Sitio Web o Servicios. REKT no es responsable por la conducta, en línea o fuera de línea, de cualquier usuario de nuestro Sitio Web o Servicios.