又发闪电贷价格操纵攻击？—— welnance.finance事件分析

最新推荐文章于 2026-06-23 20:03:21 发布

原创

最新推荐文章于 2026-06-23 20:03:21 发布 · 4.1k 阅读

标签

#安全 #区块链 #闪电贷

收录于

前言

11月13日，知道创宇区块链安全实验室监测到 BSC 上的 DeFi 协议 welnance.finance 遭遇闪电贷价格操控攻击。实验室第一时间对本次事件深入跟踪并进行分析。

事件分析

基础信息

交易哈希：0xf7a9c59953763a57f412b2e45455e70192b44356c602f7c79ddbfa9cb05f440b

攻击合约：0x96e28c2ffa1bbf45929051289ecfa8aa8039e23f

攻击者地址：0xa6516b0fc4e98a942decd6ef733cae29b74a0951

流程

1.攻击者从 WBNB-BUSD 闪电贷 1,000,000 BUSD

在这里插入图片描述

2.在 pancakeSwap 的 USD-WEL 交易对中用1,000,000 BUSD 换取 169,882 WEL

在这里插入图片描述

3.发送 80枚 WEL 到 wlWEL，获取到 4,056 wlWEL

在这里插入图片描述

4.分别从 wlUSDT 借 8,651 BUSD、wlBTC 借 0.06 BTC、wlETH 借 0.7 ETH

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

「已注销」

关注关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

价格操纵攻击的再次理解

m0_53689197的博客

12-17

1228

价格操纵攻击是指通过操控市场的买卖行为（操控流动性池或地址余额）人为地影响产品或资产价格，以谋取不正当利益市场力量的不对等：通过闪电贷行为拥有大量的资金买卖行为的操纵：大额的代币兑换，破坏市场机制（市场的流动性）恶意影响价格：资产价格计算错误（脆弱的询价机制）谋取不正当利益：出现异常数量的奖励或抵押品。

参与评论您还未登录，请先登录后发表或查看评论

智能合约中的 Gas Limit/价格攻击 (Gas Limit/Price Manipulation)

2201_75798391的博客

01-20

1060

合约在执行时，若 Gas 消耗超出了预定的 Gas Limit，执行将会失败，合约的状态可能会处于不一致的状态，导致错误的状态更新或资金丧失。而攻击者通过操控 Gas 价格，可以在拍卖即将结束时提交一个高 Gas 费用的交易，从而确保自己的交易被优先打包，获得胜利的出价者身份，或者迫使其他用户的交易失败。对于需要在区块链上执行的智能合约交易，开发者可以为交易设置合理的 Gas 费用机制，避免攻击者通过设置极低的 Gas 价格来让交易失败，或通过极高的 Gas 费用让合约执行非常昂贵。

welnance. finance的闪贷攻击

chinadefi的博客

11-19

835

welnance. finance的闪贷攻击介绍 11月13日，welnance. finance，BSC上的DeFi协议，受到了闪贷价格操纵的攻击。事件分析基本信息市场哈希： 0xf7a9c59953763a57f412b2e45455e70192b44356c602f7c79ddbfa9cb05f440b 攻击:0 x96e28c2ffa1bbf45929051289ecfa8aa8039e23f 攻击者地址:0 xa6516b0fc4e98a942decd6ef733cae29b74a09

Rari Fuse矿池攻击分析

Timmbe的博客

05-03

351

攻击交易: 攻击交易较多选择其一(https://etherscan.io/address/0x6162759edad730152f0df8115c698a42e666157f) https://etherscan.io/tx/0x254735c6c14e4d338b1cc5bca43aab6b0f395ae06085013b1b2527180d270a31 合约代码: Comptroller::https://etherscan.io/address/0xe16db319d9da7ce40b666dd2e

闪电贷攻击的深层原因：价格预言机操纵攻击

陀螺财经

11-17

2423

作者：Samczsun编译：Savage进入11月以来，连着有两起闪电贷攻击被报道，Value DeFi 协议和BSC上的CHEESE项目方都遭遇了类似攻击，损失了数百万美元。随着时间的...

AgentScope 2.0 源码解析-权限控制系统：从架构设计到安全实践

program哲学

06-17

286

本文系统性拆解 AgentScope 2.0 框架的权限控制子系统，涵盖权限引擎（PermissionEngine）、权限上下文（PermissionContext）、权限决策（PermissionDecision）、权限规则（PermissionRule）四大核心组件。深入分析五种权限模式（DEFAULT、ACCEPT_EDITS、EXPLORE、BYPASS、DONT_ASK）与四种决策行为（ALLOW、DENY、ASK、PASSTHROUGH）的设计原理，详解六步优先级决策流程。

中海达携空天地水应急方案亮相广州国际应急安全展

Hi_Target的博客

06-16

339

6月16日-18日，2026广州国际应急安全博览会在广交会展馆隆重举办。本届展会云集千余家参展企业，设立了应急装备、低空经济应急救援、安全防护等十五大专业展区，集中展示全球前沿应急技术装备与全链条一体化解决方案，构建“龙头引领+专精特新”的产业生态。中海达应邀携空天地水一体化智慧应急解决方案亮相，获得了参会嘉宾及行业同仁的高度关注。

煤矿井下电磁安全新屏障：鼎讯LDMN-JM1雷达信号模拟器化解接地故障困局

dxxt123456的博客

06-23

343

煤矿井下环境复杂多变，电力与通信设备长期面临潮湿、粉尘、震动等多重挑战，其中“死接地故障”如同隐匿的幽灵，时刻威胁着生产安全与设备稳定。如今，成都鼎讯信通科技有限公司推出的LDMN-JM1雷达信号模拟器，以2GHz~6GHz频率覆盖的先进技术，为能源行业的电磁环境监测与故障模拟带来了全新思路。本文将从煤矿实际需求出发，剖析死接地故障的成因，并探讨LDMN-JM1如何助力行业攻克这一顽疾。死接地故障，指的是设备电路中出现低阻抗接地路径，导致漏电流激增，但故障位置隐蔽、难以通过常规检测手段定位。

安全加固：敏感数据加密存储与传输安全（57）

Davina_yu的博客

06-22

185

针对密码、验证码等隐私数据输入场景，可通过IME Kit定制安全虚拟键盘。通过禁用预测文本、实时加密按键事件，从源头防止内存抓取和第三方输入法窃听。// 初始化加密器，用于实时加密用户的按键输入// 实际场景中需从安全存储中获取动态密钥});// 构建安全键盘视图return {keys: [],// 【关键】实时加密每个按键事件，内存中不保留明文// 【关键】禁用预测文本，防止输入法引擎缓存用户输入。

移动端登录态安全设计（3）：AES-GCM + Android Keystore：Android Token 本地安全存储

Mark Wu 的博客

06-20

467

本文详细介绍了Android应用中Token的安全存储方案，强调应采用多层防护机制：使用AES-GCM算法加密Token，密钥由Android Keystore系统生成和保护，加密后的密文存储在DataStore/MMKV等本地存储中。文章解答了关键问题，包括为何不直接存Token到Keystore、AES-GCM的选择原因、代码结构设计、老版本迁移策略等，并指出安全是一个整体工程，需配合HTTPS传输、日志脱敏、服务端Token失效机制等形成闭环。最终目标是实现"密文存储、密钥保护、运行时解密&

看不见的防线，听得见的守护——DX-SZ5000系列为能源电磁安全立起“电子哨兵”

dxxt123456的博客

06-23

319

DX-SZ5000系列的多信道分析模式，标配1路宽带DDC加1路窄带DDC，并可扩展多路选配窄带通道，所有通道可同时工作，独立设置中心频率、带宽、检波方式等参数。例如，技术人员可以同时监测通信调度频段、保护信号频段、定位频段和应急通信频段，所有通道并排显示在同一个软件界面中，实时更新，互不干扰。一次信号异常，可能意味着调度失灵、数据丢包甚至安全事故。当出现突发的信号中断或异常干扰时，运维人员可以回放历史数据，精确复现干扰发生的时间、频率、调制方式，为故障定位提供客观可靠的依据，避免依赖猜测和记忆。

Spring AI 学习篇（十六）| AI应用的安全与合规

qq_20236937的博客

06-23

204

Spring AI 学习篇（十六）| AI应用的安全与合规

Anthropic 可信代理实践全解析：从 Plan Mode 到多层防御，AI Agent 安全架构设计指南

2404_84649926的博客

06-22

370

Harness 层- [ ] 是否实现了 Plan Mode 或等价的策略级审批？- [ ] 是否为每个工具设置了 Allow/Ask/Block 权限？- [ ] 是否设置了 Token 预算和步骤数上限？- [ ] 系统提示是否明确鼓励"不确定就问"？工具层- [ ] 工具权限是否遵循最小化原则？- [ ] 敏感操作（写、删、发送）是否需要二次确认？- [ ] 工具描述是否清晰，避免模型误用？环境层- [ ] Agent 是否运行在隔离环境（沙箱/容器）中？

OpenAI 正式推送 GPT-5.5-Cyber 完整版：Daybreak 计划迈入实战阶段，AI 安全防御从“发现“转向“修复“

ylscode的博客

06-23

955

这个插件从 2026 年 3 月发布研究预览到现在，已经扫了超过三万个代码库、三千万次提交，处理了七万多个人工验证过的修复，自动解决了五十多万个问题。OpenAI 用 Daybreak 把前沿模型、Codex 工作流、开源合作和关键基础设施协作串在一起，把 AI 驱动的修复——而不只是检测——推到了网络防御的下一个前沿。换句话说，未来的安全竞赛，比的可能是谁打补丁更快，而不是谁找漏洞更准。它生成的报告不是那种"这里可能有风险"的模糊提醒，而是精确到代码行、带攻击路径追踪、带针对性补丁建议的技术文档。

【架构实战】账户系统架构：资金安全是底线

分享技术应用、实践场景等，评论区开放技术难题讨论，共同成长进步。

06-23

422

要点说明原子性余额更新和流水记录同一事务一致性余额 = 流水汇总，每日对账幂等性业务订单号去重可追溯所有操作有记录安全性敏感操作有审批资金安全是底线。账户系统出问题，不是丢数据，是丢信任。个人观点，仅供参考。

SpringBoot2.x + Vue2 国密接口安全实战（SM2+SM3+SM4 企业级防篡改/防泄露/防重放）

飞鸟的博客

06-17

637

本文基于SpringBoot2.x + Vue2技术栈，严格遵循 GM/T 0002/0003/0004-2012 官方国密标准，落地 SM2+SM3+SM4 全套国产化接口安全方案。通过 AOP 无侵入切面实现敏感字段加密、整包报文加密、SM3 参数验签、Redis 防重放、时间戳校验、双向身份认证六层防护，解决传统 RSA/MD5 合规性差、安全性低的问题。同时梳理开发全过程版本冲突、密文兼容、签名失败等高频踩坑问题与终极解决方案

ZIP 解压安全：Central Directory、规范化路径与 miniz 示例

编程改变世界。想做一些改变世界的产品。感谢一键三连。

06-16

378

文章摘要 ZIP解压存在严重安全隐患，如路径穿越攻击（Zip Slip）可能导致文件被解压到目标目录外或覆盖系统文件。安全解压需重点关注两点：1）利用ZIP Central Directory预先校验所有文件信息，避免解压中途失败；2）对路径进行规范化处理，统一分隔符、拒绝绝对路径和..等危险路径。此外还需设置文件数量、单文件大小和总解压大小限制以防止压缩炸弹攻击。miniz库示例展示了先读取目录校验、后安全解压的推荐流程，强调"先校验再解压"的核心原则。

信息系统基础知识（九）：信息系统安全的作用与意义详解

你好，我是黄昏回响，一个热爱分享知识与见解的博主。在这里，你会看到我对生活、阅读与成长的思考。欢迎添加我的微信号逸飞广闻，一起交流有趣的话题，碰撞思想火花。期待与你相遇，共同拓宽认知边界，收获更多精彩！

06-22

358

我们系统学习了信息安全的基础知识——五个基本要素（机密性、完整性、可用性、可控性、可审查性）、四个安全范围（设备安全、数据安全、内容安全、行为安全）以及信息存储安全等核心概念。那些知识为我们理解“信息安全是什么”打下了基础。

超自动化安全的技术选型与架构设计指南

m0_74389308的博客

06-16

306

《超自动化安全技术选型与架构设计指南》指出，超自动化正成为企业安全运营的必备能力。面对技术选型挑战，企业需重点评估五大维度：1）集成能力，考察API、协议覆盖和UI自动化；2）编排能力，关注低代码设计、场景模板和AI辅助；3）AI融合深度，检验智能决策、预测分析和自进化能力；4）部署扩展性，评估轻量化、国产化适配和分布式架构；5）企业级特性，重视权限管理和多租户隔离。该框架为企业提供了从技术评估到架构设计的系统性决策支持。

工业盾牌：10 未来：AI自适应安全