ดูเหมือนว่าการโจมตีด้วยวิธี Flash loans บนโปรโตคอล DeFi นั้นจะเริ่มเป็นที่นิยมมากขึ้นในช่วงไม่กี่เดือนที่ผ่านมา และโปรโตคอลที่ตกเป็นเหยื่อรายล่าสุดนั่นก็คือ Bogged Finance
ตามรายงานจากบริษัทรักษาความปลอดภัย PeckShield ที่เผยแพร่เมื่อวันที่ 23 พฤษภาคมเขียนระบุว่า การโจมตีด้วยวิธีดังกล่าวส่งผลให้แฮกเกอร์สามารถทำรายได้ไปมากถึง 3.6 ล้านดอลลาร์จาก Bogged Finance
Bogged Finance นั้นเป็นแพลตฟอร์ม DeFi ที่ช่วยให้ผู้ใช้สามารถทำการวิเคราะห์หาข้อมูลและซื้อโทเค็นใด ๆ บนเครือข่าย Binance Smart Chain ด้วยการใช้แพลตฟอร์มคำสั่ง limit order จากสภาพคล่องของ PancakeSwap
เช่นเดียวกับการโจมตีโปรโตคอล PancakeBunny ที่โด่งดังเมื่อสัปดาห์ที่แล้วแฮกเกอร์สามารถเพิ่มจำนวนโทเค็น BOG ได้มากกว่าที่ควรจะเป็น และนำมาเทขายในตลาดเพื่อทำกำไร
PeckShield ได้อธิบายอย่างละเอียดว่าเหตุการณ์ดังกล่าวนั้นเกิดขึ้นจากข้อผิดพลาดของโค้ดสัญญา Smart contract ที่ทำให้แฮกเกอร์สามารถเพิ่มจำนวนโทเค็น BOG ผ่านการโอนเหรียญไปมาหาตัวเอง
โปรโตคอล DeFi กำลังตกอยู่ในความเสี่ยง
ช่องโหว่ดังกล่าวนั้นเกิดจากข้อบกพร่องในสัญญา Smart contract ซึ่งออกแบบมาให้มีภาวะเงินฝืด โดยสัญญาจะเรียกเก็บค่าธรรมเนียม 5% ของจำนวนเงินที่มีการทำรายการ 1% จะถูกเผาและ 4% ถูกนำไปเป็นเงินทุนให้กับผู้ที่ทำการ Stake
สัญญา Smart contract ของ BOG จะเรียกเก็บเงินเพียง 1% ของจำนวนเงินที่โอน แต่ผู้ Staking ยังจะได้รับผลตอบแทนเพิ่มขึ้น 4% ด้วยช่องโหว่นี้เองแฮกเกอร์จึงได้ทำการ swap ด้วยวิธี flash swaps อยู่หลายครั้งเพื่อทำธุรกรรมหาตนเองซ้ำ ๆ และเพิ่มผลกำไรจากการ Staking
flash swaps นั้นเป็นวิธีการคล้ายกับ flash loans โดยแฮกเกอร์ได้ทำการเพิ่มสภาพคล่องไปยัง wBNB/BOG pool ซึ่งการ Swap แต่ละครั้งนั้นแฮกเกอร์จะได้รับเหรียญ BOG 47,770 เหรียญ จาก wrapped BNB จำนวน 88,159 เหรียญที่ทำการเขาได้ทำการฝากสภาพคล่องเอาไว้
แฮกเกอร์ได้ทำการโอนเงินไปมาหาตัวเองทั้งหมด 434 ครั้งโดยมียอดโอนรวม 18.74 ล้าน BOG ส่งผลให้ยอดคงเหลือเพิ่มขึ้นเป็น 151,000 BOG จากนั้นแฮกเกอร์ขายเหรียญ BOG คืนในตลาด, ชำระเงินกู้ของเหรียญ wBNB คืนและทำกำไรสุทธิทั้งหมด 3.6 ล้านดอลลาร์
หลังจากข่าวการโจมตีเริ่มแพร่สะพัดออกไป ราคาของเหรียญ BOG ก็ได้ดิ่งร่วงลงทันทีจากระดับ 3 ดอลลาร์ในวันอาทิตย์ไปแตะ 0 ดอลลาร์อย่างรวดเร็ว
อย่างไรก็ตามล่าสุดทางทีมงานของ Bogged Finance ได้ออกมาประกาศว่า พวกเขาได้ทำการลบสภาพคล่องทั้งหมดออกไปจากแพลตฟอร์มแล้วและกำลังเตรียมการย้ายไปยังสัญญา Smart contract ตัวใหม่