CHA:Poly Network攻擊關鍵步驟深度解析_AIN

北京時間2021年8月10日，跨鏈橋項目Poly Network遭遇攻擊，損失超過6億美金。雖然攻擊者在后續償還被盜數字貨幣，但是這仍然是區塊鏈歷史上涉及金額最大的一次攻擊事件。由于整個攻擊過程涉及到不同的區塊鏈平臺，并且存在合約以及Relayer之間的復雜交互，對于攻擊的完整過程和漏洞的根本原因，現有分析報告并未能梳理清楚。

整個攻擊分為兩個主要階段，包括修改keeper簽名和最終提幣。對于第二階段，由于keeper簽名已經被修改，因此攻擊者可以直接構建惡意提幣交易，具體可以參見我們之前的報告。然而對于修改keeper簽名的交易是如何最終在目標鏈執行的，目前并沒有詳細的文章闡明。而這一步是攻擊的最核心步驟。

本報告從修改keeper簽名交易入手(Ontology鏈上交易0xf771ba610625d5a37b67d30bf2f8829703540c86ad76542802567caaffff280c)，分析了背后的原理和漏洞的本質。我們發現以下幾個原因是Keeper能被修改的原因：

源鏈上(Ontology)的relayer沒有對上鏈的交易做語義校驗，因此包含修改keeper惡意交易可以被打包到poly chain上

目標鏈上(以太坊)上的relayer雖然對交易做了校驗，但是攻擊者可以直接調用以太坊上的EthCrossChainManager合約最終調用EthCrossChainData合約完成簽名修改

攻擊者精心夠著了能導致hash沖突的函數簽名，從而調用putCurEpochConPubKeyBytes完成對簽名的修改

整個過程中的交互流程如下：

Polygon zkEVM將于下周推出經審計的升級版測試網:2月24日消息，Polygon Labs將于下周推出經審計的升級版Polygon zkEVM測試網。該測試網將與主網測試版推出的無許可、任何人準入、無白名單、真實資產、帶有工作驗證器的實時系統幾乎相同。

在部署審計升級的測試網后，Polygon zkEVM還將支持Etherscan，并進行FFLONK集成，提高驗證器性能。目前測試網的用戶暫時無需操作。一旦確定審計升級測試網的日期，Polygon Labs將提供鏈ID和其他必要的詳細信息，以便在新網絡中重新部署。[2023/2/25 12:28:16]

Ontology交易 -> Ontology Relayer -> Poly Chain -> Ethereum Relayer -> Ethereum

以太坊

0x838bf9e95cb12dd76a54c9f9d2e3082eaf928270: EthCrossChainManager

0xcf2afe102057ba5c16f899271045a0a37fcb10f2: EthCrossChainData

0x250e76987d838a75310c34bf422ea9f1ac4cc906: LockProxy

0xb1f70464bd95b774c6ce60fc706eb5f9e35cb5f06e6cfe7c17dcda46ffd59581: 修改keeper的交易

Ontology

0xf771ba610625d5a37b67d30bf2f8829703540c86ad76542802567caaffff280c: 修改keeper的交易

Poly Network：首要目標是完全恢復用戶資產:8月12日晚間，Poly Network發推稱，“不可否認，我們正在經歷一段艱難的時期，但我們還是要提醒所有Poly Network的用戶和項目，我們現在的首要目標是完全恢復用戶資產。團隊一直在為實現這一目標而努力。我們期待“白帽”先生如他所說的那樣歸還所有剩余的用戶資產，我們將繼續努力實現這一目標。”

此前消息，Poly Network攻擊者已通過BSC、以太坊和Polygon返還了目前價值超過3.42億美元的代幣（包括 USDC、BUSD、SHIB和FEI）。此前Poly Network共約6.13億美元的資產被盜。[2021/8/12 1:51:34]

Poly

0x1a72a0cf65e4c08bb8aab2c20da0085d7aee3dc69369651e2e08eb798497cc80: 修改keeper的交易

整個攻擊大致可以分為三個步驟。第一個步驟是在 Ontology 鏈生成一條惡意交易(0xf771ba610625d5a37b67d30bf2f8829703540c86ad76542802567caaffff280c)，第二個步驟是修改以太坊EthCrossChainData合約中的keeper簽名，第三個步驟構造惡意交易發起最終攻擊和提幣。

步驟一

攻擊者首先在Ontology發起了一筆跨鏈交易（0xf771ba610625d5a37b67d30bf2f8829703540c86ad76542802567caaffff280c），里面包含了一個攻擊payload:

KuCoin (庫幣)上線 Polkadex (PDEX) ，現已開放充值:據KuCoin (庫幣)官方公告，KuCoin (庫幣)宣布全球首發上線 Polkadex (PDEX)項目并支持PDEX/USDT 交易服務 ，目前已開啟PDEX的充值服務，于4月16日20:30正式開放交易。 Polkadex是基于波卡生態的Substrate區塊鏈框架開發的去中心化交易平臺。以“全民的交易所”著稱，KuCoin (庫幣)旨在發掘全球優質區塊鏈項目，為來自207個國家的600萬用戶提供幣幣、法幣、杠桿、合約、礦池、借貸等一站式服務。[2021/4/16 20:26:38]

可以看出交易包含了精心設計的函數名（圖中以6631開頭的數字，轉換后即 f1121318093），目的在于通過造成哈希沖突（hash collision）的方式調用putCurEpochConPubKeyBytes函數（屬于以太坊上的EthCrossChainData合約）。關于哈希函數沖突的細節在網絡上已有很多討論，可以參考.

隨后，該筆交易被Ontology Relayer 接收，注意這里并沒有很嚴格的校驗。該交易會通過Relayer在Poly Chain成功上鏈（0x1a72a0cf65e4c08bb8aab2c20da0085d7aee3dc69369651e2e08eb798497cc80）。Ethereum Relayer會感知到新區塊的生成。

然而，這筆交易被Ethereum Relayer拒絕了。原因在于Ethereum Relayer對目標合約地址有校驗，只允許LockProxy合約作為目標地址，而攻擊者傳入的是EthCrossChainData地址。

Gate.io將于今日10點上線POLY交易:據官方公告，Gate.io將于3月29日（今日）10:00上線 Polymath Network（POLY）交易。風險提示：請務必注意價格變化，提前調整市場掛單，切勿追高。[2021/3/29 19:25:12]

因此，攻擊者攻擊之路在此中斷。但如前所述，包含惡意payload的攻擊交易已經在Poly Chain成功上鏈，可被進一步利用。

步驟二

攻擊者手動發起交易，調用EthCrossChainManager合約中的verifyHeaderAndExecuteTx函數，將之前一步保存在Ploy Chain區塊中的攻擊交易數據作為輸入。由于該區塊是poly chain上的合法區塊，因此可以通過verifyHeaderAndExecuteTx中對于簽名和merkle proof的校驗。然后執行EthCrossChainData合約中的putCurEpochConPubKeyBytes函數，將原本的4個keeper修改為自己指定的地址（0xA87fB85A93Ca072Cd4e5F0D4f178Bc831Df8a00B）。

步驟三

在keeper被修改之后，攻擊者直接調用目標鏈上的verifyHeaderAndExecuteTx函數（而不需要再通過poly chain -- 因為keeper已經被修改，攻擊者可以任意簽署在目標鏈看來合理的poly chain上的塊）,最終調用至Unlock函數（屬于LockProxy合約），大量地轉移資金，給項目方帶來了嚴重的損失。具體的攻擊細節可參考我們之前的報告。

在本攻擊過程中，Ontology方和以太坊方均有Relayer負責將來自Ontology的交易在poly Chain上鏈，以及將poly chain上的交易放到以太坊。這兩個Relayer是由Go語言實現的服務進程。

監測：逾805萬USDT自一未知地址轉至Poloniex:據Whale Alert監測，北京時間13點04分，波場鏈上8,054,634 枚USDT自一未知地址轉至Poloniex。[2020/3/6]

然而我們發現，這兩個Relayer都缺乏有效的校驗。這導致

攻擊者可以在Ontology構造一條惡意的跨鏈交易，并且成功打包到poly chain上。

雖然在以太坊的Relayer具有校驗功能，但是攻擊者可以直接同以太坊上的鏈上合約進行交互，直接執行惡意的函數。

Ontology Relayer完全信任來自Ontology上的跨鏈交易

Poly Network 的 ont_relayer(https://github.com/polynetwork/ont-relayer) 負責監聽 Ontology 鏈上的跨鏈交易并將其打包入傳入Poly Chain.

注：

在Ontology Relayer中，Side 指 Ontology Chain; Alliance 指 Poly Chain.

CrossChainContractAddress 是 Ontology 鏈上原生編號為 09 的智能合約.

上圖中，Ontology Relayer啟動時開啟三個 Goroutines 分別負責監聽 Ontology Chain 和 Poly Chain 的跨鏈交易，以及對 Poly Chain 上的跨鏈交易做狀態檢查。在本報告中，我們只關注69行的監聽Side的代碼邏輯。

在上圖中，Ontology Relayer 調用 Ontology 鏈提供的 RPC 接口（第 215 行，調用SDK函數 GetSmartContractEventByBlock) 獲取區塊中觸發的智能合約事件;然后在第 228 和 232 行表明 Ontology Relayer 只監聽 Ontology Chain 上由 CrossChainContractAddress 觸發的 makeFromOntProof 事件;

上圖中，在處理 Ontology Chain 上的跨鏈交易時，Ontology Relayer 總共做了五次校驗，分別是兩次向 Ontology Chain 發送的 RPC 請求校驗(check 1 和 check 4), 以及三次參數是否為空的校驗(check2, check3, 和check5)。這五次校驗都屬于常規校驗，并未對來自 Ontology Chain 上的跨鏈交易做語義上的校驗; 第 167 和 171 行取出了在目標鏈上執行所需要的交易參數信息（proof, auditPath）;第 183 行向 Poly Chain 發送交易;

Ontology Relayer 在構造了 Poly Chain 上的交易后便向 Poly Chain 發起 RPC 請求發送交易（第 164 行，函數調用 SendTransaction);

這個名為 ProcessToAliianceCheckAndRetry 的 Goroutine 也僅僅是做了重發失敗交易的工作，仍然未對來自 Ontology Chain 上的跨鏈交易做任何語義上的校驗。

至此，我們可以看出 ont-relayer 監聽所有來自 Ontology Chain 由 CrossChainContractAddress 觸發的 makeFromOntProof 事件，并未對其做任何語義上的校驗，便向 Poly Chain 轉發了交易。而任何人向 Ontology 發送的任何跨鏈交易都會觸發 CrossChainContractAddress 的 makeFromOntProof 事件，所以 Ontology Relayer 會將所有來自 Ontology 上的跨鏈交易都轉發到 Poly chain 上。

Ethereum Relayer中的無效校驗

Ethereum Relayer 負責監聽 Poly Chain 并將目標鏈為 Ethereum 的跨鏈交易轉發到 Ethereum 上。

Ethereum Relayer 啟動一個 Goroutine 來監控 Poly Chain;

Ethereum Relayer監聽所有 Poly Chain 上目標鏈為 Ethereum 的跨鏈交易 （第 275 至 278 行）; Ethereum Relayer會校驗跨鏈交易的目標合約是否為 config.TargetContracts中指定的合約之一，如果不是則不會發送這筆跨鏈交易到 Ethereum 上（第 315 行）。

雖然 Ethereum Relayer 對 Poly Chain 上的跨鏈交易做了部分校驗，比如限制了目標合約，但是與 Poly Chain 不同，任何人都可以向 Ethereum 上的EthCrossChainManager合約發送交易。換句話說，Ethereum Relayer 在這里做的校驗沒有實際的意義，只要包含惡意payload的跨鏈交易被成功打包進了 Poly Chain（雖然沒有被relay轉發到以太坊鏈上）, 那么任何人都可以直接使用已經打包好的區塊數據將payload發送到以太坊EthCrossChainManager合約并執行（這個過程中，可以通過merkle proof的校驗，因為是已經正常上鏈的poly chain區塊數據）。

攻擊者正是利用了上述兩個缺陷，完成了攻擊流程中的步驟一和步驟二。

通過對整個攻擊流程的完整梳理和詳盡分析，我們認為Relayer的不完整校驗是攻擊得以發生的根本原因。其它（諸如利用hash沖突等）方面則更多地屬于比較精彩的攻擊技巧。總而言之，跨鏈的校驗和鑒權是跨鏈系統安全的關鍵所在，值得社區付出更多的努力。

Tags：CHAChainAINHAIIZIChainBlockchain PropertyHyperonChainLINE Blockchain

Uniswap