背景信息
本次攻击涉及 Bonding 和 LBM 两种代币，用户可以通过 Bonding.buy() 用 USDC 购买 Bonding，当 Bonding 合约中的 USDC 累积超过一定阈值时会触发回购机制将 USDC 兑换成 LBM，随后向 Bonding, LBM pool 添加流动性。
造成本次攻击的原因是添加流动性所采用的 pool 并未提前创建（代码逻辑是第一次触发时不存在则创建），攻击者先创建了比例失衡的恶意 Bonding, LBM pool。然后通过闪电贷大量的 USDC 来购买 Bonding 触发回购机制，当协议将大量的 LBM 添加到 pool 中后，攻击者将手上的 Bonding 兑换成 USDC 完成获利（Bonding -> LBM -> WETH -> USDC 完成获利）。损失金额 4884 USDC。
漏洞合约：https://basescan.org/address/0xffa1ed9c565a4e635543123b29889e96bcafa184#code
Trace 分析
-
闪电贷获得 100000 USDC
-
攻击者创建了Bonding 的价格极高的 Bonding, LBM pool
-
攻击者通过 Bonding.buy() 用 11949 USDC 换取 1194.9 Bonding
-
触发 Bonding 的回购机制
-
用 17100 USDC 换取 332874 LBM
-
将 332874 LBM 和 0 Bonding 作为流动性添加到攻击者创建的 pool 中
-
攻击者在恶意构造的 pool 中用 0.01 Bonding 换出 332874 LBM，随后按照 Bonding -> LBM -> WETH -> USDC 这个路径获得 16833 USDC
-
归还闪电贷 100000 USDC，获利 4884 USDC。
代码分析
Bonding 和 LBM 组成一个双代币协议，LBM 作为 Bonding 的 feeToken。本次漏洞产生的原因主要在 Bonding 代币中。攻击者通过购入大量的 Bonding 代币触发回购机制。
https://vscode.blockscan.com/8453/0x8D2Eb55F429aC689134ee547C74720BC41219F39
在 _finalizeSale() 函数中，首先将 USDC 换成 LBM
随后检查需要添加流动性的 Bonding, LBM pool ，通过注释可以看出，项目方是故意先不部署池子的，等到实际触发回购机制的时候再创建，这就给了攻击者可乘之机。
由于攻击者已经创建好了 Bonding, LBM pool ，所以这里 pool 地址为非零地址。最终使得协议按照攻击者设置的 LBM 价格极高的比例向 pool 添加流动性，攻击者可以用极少的 Bonding 套取大量的 LBM，转而出售成 USDC 完成获利。
