Odaily星球日報訊據慢霧安全團隊情報，2022年9月8號BSC鏈上的New Free Dao項目遭受閃電貸攻擊。慢霧安全團隊以簡訊形式分享如下： 1. 攻擊者首先通過閃電貸從Pancake借出了大量的WBNB，並換成了NFD代幣； 2. 攻擊者將第一步兌換的NFD代幣轉入攻擊合約中，攻擊合約會創建一個新的攻擊合約2並接收代幣； 3. 攻擊合約2調用了未開源的被黑合約中(0x8b068e22) 的0x6811e3b9函數，通過反編譯該合約分析出該函數僅通過調用者的NFD代幣餘額來計算獲取的獎勵並將獎勵轉給調用者，餘額越多計算的獎勵就越大，攻擊合約2將在獲取獎勵後把獎勵轉移給新部署的攻擊合約，並再次調用0x6811e3b9函數獲取獎勵，通過不斷創建新的攻擊合約獲取獎勵來滾雪球套出池子裡的所有代幣； 4. 將獲得的NFD代幣通過Pancake換成WBNB，歸還閃電貸後獲利。此次攻擊的主要原因在於合約中計算獎勵的方式過於簡單，僅取決於調用者的餘額故導致被閃電貸套利。慢霧安全團隊建議在設計獎勵方式時應採用多個因素動態計算。攻擊交易：0x1fea385acf7ff046d928d4041db017e1d7ead66727ce7aacb3296b9d485d4a26。
dark