7 月14 日，佈局在BSC 和Polygon 鏈上的收益聚合器Aperocket 在不到12 小時的時間內先後遭到閃電貸攻擊。

據PeckShield「派盾」追踪和定位分析，雖然攻擊者兩次運用的攻擊手法不同，但都是源於Aperocket 存在的收益通脹漏洞。

在BSC 鏈上的Aperocket 遭到攻擊後，其代幣SPACE 的價格短時下跌75%。

Aperocket 是「Fork」此前遭到閃電貸攻擊閃崩，觸發一系列閃電貸攻擊多米諾的PancakeBunny 的收益聚合器。

用戶通過質押ApeSwap 的LP Token、CAKE 或SPACE 等代幣來獲得自動複合收益。

在此安全事件中，攻擊者質押CAKE，獲得CAKE 獎勵和SPACE 代幣獎勵（Aperocket 的額外獎勵），利用AutoCake:withdrawAll() 存在的漏洞獲利。

PeckShield「派盾」簡述BSC 鏈上的攻擊過程：

首先，攻擊者從PancakeSwap 借出兩筆閃電貸，共計161.5 萬枚CAKE；

然後將50.9 萬枚CAKE 存入資金池，這一步有助於攻擊者在後期調用AutoCake 合約中的WithdrawAll() 或earned() 函數時，資金池會鑄造SPACE 代幣；

由於第一次攻擊者將大量CAKE 質押至資金池，這快速提高了它在該資金池的持股佔比，使其能夠分得90% 以上的AutoCake 質押收益，即CAKE 和SPACE；

在完成前期工作將CAKE 存入資金池之後，攻擊者進行了第二筆交易，將110.5 萬枚CAKE 質押到AutoCake 合約中，調用AutoCake 合約中的harvest 函數觸發复投，相當於CAKE 複利池的套娃版，質押CAKE，可以挖到CAKE，合約再把所獲CAKE 自動質押到CAKE 資金池中。

隨著合約計入的CAKE 不斷增長，鑄造的SPACE 就隨之增長。

最終，攻擊者返還閃電貸，獲利883.5 BNB（合約27.3 萬美元）。據PeckShield「派盾」統計，攻擊者在Polygon 上獲利約100 萬美元。

自2021 年第一季度，DeFi 市場呈現出多鏈生態迸發的趨勢，整個市場延續了2020 年下半年強勁增長的勢頭，大多數指標都創下了歷史新高。

然而，隨著虛擬貨幣市場在第二季度後期回調，DeFi 領域也或多或少受到影響。各公鏈在爭奪流動性的同時，現有的DeFi 協議也在探索和適應新興的運營方式—多鏈佈局。

可觀的回報率有助於吸引流動性，但同時多鏈佈局也對協議的安全性、安全響應速度提出更高要求。當安全事件發生時，不僅需要對已遭攻擊的漏洞進行第一時間排查，提出安全方案，同時要在一條鏈上發現潛在的漏洞時，第一時間去檢測另一條或多條鏈上的協議是否存在類似地問題，並及時預警社區，提出安全解決方案，避免關聯的有價資產曝露在風險中，有利於減小已知的、可能造成的更大損失。

在經過今年上半年與攻擊者的攻防戰中，PeckShield「派盾」發現，建立風控熔斷機制，引入第三方安全公司的態勢感知情報服務，第一時間響應安全風險，及時排查封堵安全攻擊，能夠有效減小閃電貸攻擊造成的損失。

隨著多鏈部署的興起，在處理安全事件時，要求協議參與方、專業的安全團隊比攻擊者更沉著冷靜，這本就是一場時間的爭奪戰，攻擊者不會停下來容我們反思，只有比攻擊者先想一步，哪怕是一小步，都有可能成為我們在這場爭奪戰中取得階段性勝利的一大步。