妖怪已經從瓶子裡跑出來了？我們剖析了PancakeBunny 和AutoShark 的閃電貸攻擊原理和攻擊者的鏈上轉賬記錄，發現了Merlin Labs 同源攻擊的一些蛛絲馬跡。

2021 年5 月20 日，一群不知名的攻擊者通過調用函數getReward() 抬高LP token 的價值，獲得額外的價值4,500 萬美元的BUNNY 獎勵。 5 月25 日，PeckShield「派盾」預警發現，Fork PancakeBunny 的收益聚合器AutoShark Finance 遭到PancakeBunny 同源閃電貸攻擊。

2021 年5 月26 日，就在AutoShark Finance 遭到攻擊24 小時後，PeckShield「派盾」安全人員通過剖析PancakeBunny 和AutoShark 攻擊原理和攻擊者的鏈上轉賬記錄，發現了Fork PancakeBunny 的Merlin Labs 遭到同源攻擊。

所有上述三次攻擊都有兩個類似特徵，攻擊者盯上了Fork PancakeBunny 的收益聚合器；攻擊者完成攻擊後，通過Nerve（Anyswap）跨鏈橋將它們分批次轉換為ETH。

有意思的是，在PancakeBunny 遭到攻擊後，Merlin Labs 也發文表示，Merlin 通過檢查Bunny 攻擊事件的漏洞，不斷通過細節反复執行代碼的審核，為潛在的可能性採取了額外的預防措施。此外，Merlin 開發團隊對此類攻擊事件提出了解決方案，可以防止類似事件在Merlin 身上發生。同時，Merlin 強調用戶的安全是他們的頭等大事。

然而，Bunny 的不幸在Merlin 的身上重演。 Merlin「梅林」稱它的定位是Bunny「兔子」 的挑戰者，不幸的是，梅林的魔法終未逃過兔子的詛咒。

PeckShield「派盾」簡述攻擊過程：

這一次，攻擊者沒有借閃電貸作為本金，而是將少量BNB 存入PancakeSwap 進行流動性挖礦，並獲得相應的LP Token，Merlin 的智能合約負責將攻擊者的資產押入PancakeSwap，獲取CAKE 獎勵，並將CAKE 獎勵直接到CAKE 池中進行下一輪的複利；攻擊者調用getReward() 函數，這一步與BUNNY 的漏洞同源，CAKE 大量注入，使攻擊者獲得大量MERLIN 的獎勵，攻擊者重複操作，最終共計獲得4.9 萬MERLIN 的獎勵，攻擊者抽離流動性後完成攻擊。

隨後，攻擊者通過Nerve（Anyswap）跨鏈橋將它們分批次轉換為ETH，PeckShield「派盾」旗下的反洗錢態勢感知系統CoinHolmes 將持續監控轉移的資產動態。

PeckShield「派盾」提示：Fork PancakeBunny 的DeFi 協議務必仔細檢查自己的合約是否也存在類似的漏洞，或者尋求專業的審計機構對同類攻擊進行預防和監控，不要淪為下一個「不幸者」。

在這批BSC DeFi 的浪潮上，如果DeFi 協議開發者不提高對安全的重視度，不僅會將BSC 的生態安全置於風險之中，而且會淪為攻擊者睥睨的羊毛地。

從PancakeBunny 接連發生的攻擊模仿案來看，攻擊者都不需要太高技術和資金的門檻，只要耐心地將同源漏洞在Fork Bunny 的DeFi 協議上重複試驗就能撈上可觀的一筆。 Fork 的DeFi 協議可能尚未成為Bunny 挑戰者，就因同源漏洞損失慘重，被嘲笑為“頑固的韭菜地” 。

世界上有兩種類型的“遊戲“，“有限的遊戲“和“無限的遊戲“。有限的遊戲，其目的在於贏得勝利；無限的遊戲，卻旨在讓遊戲永遠進行下去。

毫無疑問，無論Fork Bunny 的DeFi 協議接下來會不會認真自查代碼，攻擊者們的無限遊戲將會持續進行下去。