12月21日,鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示,UniswapV3流動性管理協議VisorFinance于北京時間12月21日晚上10點18分遭受攻擊,總損失約為820萬美元。關于本次攻擊,成都鏈安技術團隊第一時間進行了事件分析。
#1事件概覽
2021年12月21日晚VisorFinance官方Twiiter發布通告稱vVISR質押合約存在漏洞,發文前已有攻擊交易上鏈。
經過成都鏈安技術團隊分析,攻擊者通過惡意合約利用VisorFinance項目的漏洞,偽造了向VisorFinance的抵押挖礦合約(0xc9f27a50f82571c1c8423a42970613b8dbda14ef)存入2億代幣的交易,從而獲取了195,249,950vVISR抵押憑證代幣。然后再利用抵押憑證,從抵押挖礦合約中取出了8,812,958VISR。
OKX Web3錢包多鏈簽名SDK已全面開源:7月21日消息,OKX發推稱,OKX Web3錢包多鏈簽名SDK現已全面開源,支持逾60條區塊鏈網絡。[2023/7/21 15:50:11]
#2事件具體分析
攻擊交易為:
https://etherscan.io/tx/0x69272d8c84d67d1da2f6425b339192fa472898dce936f24818fda415c1c1ff3f
攻擊手法大致如下:
1.部署攻擊合約
Binance:良好的稅收政策應使用特定于加密的框架以及提供精確的指南:金色財經報道,Binance發布關于加密稅收政策的文章,列出為加密資產行業制定良好稅收政策的一般原則包括:引入特定于加密貨幣的框架 、提供詳細且技術上精確的規則或指南、征稅并引入與類似行業(如金融和科技)的一致而非更復雜的加密貨幣報告義務、對已實現的資本收益征收特權稅而非交易稅、推行有吸引力的政策。[2023/2/23 12:25:10]
0x10c509aa9ab291c76c45414e7cdbd375e1d5ace8;
Web3唱片公司Hume完成1170萬美元A輪融資:9月23日消息,Web3唱片公司Hume宣布完成1170萬美元A輪融資,TCG Crypto領投,參投方包括Collab+Currency、Gemini Frontier Fund、Winklevoss Capital、gmoney.eth、Flamingo DAO、Noise DAO、The LAO、Distributed Global、Coopahtroopa等。Hume的首個metastar是angelbaby,Hume表示,在過去8個多月的時間里,angelbaby曾在Art Basel、Fluf Haus LA和SXSW完成演出。
Hume還在7月份發布Hume Genesis系列,總量1035個,分為3個稀有等級,該NFT系列持有者是能夠幫助metastar做出其藝術生涯和個人生活中重要決定的關鍵。(Forbes)[2022/9/23 7:16:16]
2.通過攻擊合約調用VisorFinance項目的抵押挖礦合約deposit函數,并指定存入代幣數量visrDeposit為1億枚,from為攻擊合約,to為攻擊者地址
Galois Capital:ETHPoW不應將EIP 1559基礎費用定向到多簽錢包:8月15日消息,Galois Capital在推特上表示:“我認為ETHPoW將EIP 1559基礎費用重定向到多重簽名DAO是一個錯誤。如果礦工收入需要增加以收集更大的算力,那么完全廢除會更好。ETHPoW正試圖解決沒有開發人員的問題,我同意這是一個問題,但通過將基礎費用填充到多重簽名中并不是一種干凈的方法。ETHPoW基本上用不必要的政策作為解決不同問題的一種方式。與任何不公平或中心化的問題相比,資金不足的發展是一個較小的問題。這是因為ETHPoW無論如何都無法贏得與ETHPoS的開發競爭,所以最好下注在不同的路線上。”
此前今日早些時候消息,ETHW Core的初始版本已發布,主要特點是:1、禁用難度炸彈;2、EIP-1559變更,基礎費用改為由礦工和社區共同管理的多簽錢包管理;3、調整了ETHW的起始挖礦難度。[2022/8/15 12:26:11]
0x8efab89b497b887cdaa2fb08ff71e4b3827774b2;
3.在第53行,計算出抵押憑證shares的數量為97,624,975vVISR.
4.由于from是攻擊合約,deposit函數執行第56-59行的if分支,并調用攻擊合約的指定函數;
第57行,調用攻擊合約的owner函數,攻擊合約只要設置返回值為攻擊合約地址,就能夠通過第57行的檢查;
第58行,調用攻擊合約的delegatedTransferERC20函數,這里攻擊合約進行了重入,再次調用抵押挖礦合約的deposit函數,參數不變,因此抵押挖礦合約再次執行第3步的過程;
第二次執行到第58行時,攻擊合約直接不做任何操作;
5.由于重入,抵押挖礦合約向攻擊者發放了兩次數量為97,624,975vVISR的抵押憑證,總共的抵押憑據數量為195,249,950vVISR。
6.提現
攻擊者通過一筆withdraw交易
,將195,249,950vVISR兌換為8,812,958VISR,當時抵押挖礦合約中共有9,219,200VISR。
7.通過UniswapV2,攻擊者將5,200,000VISR兌換為了WETH,兌換操作將UniswapV2中ETH/VISR交易對的ETH流動性幾乎全部兌空,隨后攻擊者將獲得的133ETH發送到Tornado。
#3事件復盤
本次攻擊利用了VisorFinance項目抵押挖礦合約RewardsHypervisor的兩個漏洞:
1.call調用未對目標合約進行限制,攻擊者可以調用任意合約,并接管了抵押挖礦合約的執行流程;<-主要漏洞,造成本次攻擊的根本原因。
2.函數未做防重入攻擊;<-次要漏洞,導致了抵押憑證數量計算錯誤,不是本次攻擊的主要利用點,不過也可憑此漏洞單獨發起攻擊。
針對這兩個問題,成都鏈安在此建議開發者應做好下面兩方面防護措施:
1.進行外部合約調用時,建議增加白名單,禁止任意的合約調用,特別是能夠控制合約執行流程的關鍵合約調用;
2.函數做好防重入,推薦使用openzeppelin的ReentrancyGuard合約。
作者:秦曉峰 北京時間24日下午,一個名為OpenDAO的項目悄然上線,并宣布要為所有在?NFT?交易平臺Opensea交互用戶空投代幣SOS,此前在OpenSea進行過交易的用戶都可領取.
1900/1/1 0:00:00自2021年掀起NFT熱潮以來,越來越多的傳統藝術家開始公開反對用戶盜用他們的作品,把他們的作品鑄造為NFT并在OpenSea上出售.
1900/1/1 0:00:002021年,DeFi領域依舊火爆,同時也帶領新的領域向前延展,最成功的產品就是去中心化交易所。近日,波場TRON全力打造的去中心化交易所SunSwap又出新進展.
1900/1/1 0:00:00此前,我們詳細的介紹了近期發展較為迅猛的頭部P2E公會AvocadoDAO。而早在11月底,AvocadoDAO的A輪融資中,融資金額達到了1800萬美元,并創下P2E公會賽道史上最大的融資金額.
1900/1/1 0:00:00作者:鄭冉 2021年就要畫下句號,復盤這一年區塊鏈領域發生的安全事件,涉及金額和影響最大的當屬8月份跨鏈互操作協議PolyNetwork遭黑客攻擊,被盜資金超6.1億美元.
1900/1/1 0:00:00點擊上方“藍色字”可關注我們!暴走時評:根據OpenSea的數據,交易量最大的兩個NFT系列正在激烈爭奪銷售額的頭把交椅,目前BAYC處于領先地位.
1900/1/1 0:00:00