1.前言
北京時間3月15日晚,知道創宇區塊鏈安全實驗室監測到Gnosis鏈上的借貸類協議HundredFinance與Agave均遭遇了閃電貸襲擊,包括AAVE的分支Agave和Compound的分支HundredFinance。協議損失超1100萬美元。目前項目方已暫停其數百個市場。
知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。
2.分析
Gnosis鏈上Compound分叉項目Hundred Finance將停止運營:8月10日消息,Gnosis 鏈上 Compound 分叉項目 Hundred Finance 發推表示,該項目將根據社區提案投票結果停止運營。該提案包括停止 Hundred Finance 作為貸款協議的日常運營,并將金庫中持有的可用資產直接分配給受害者,并盡可能尋求進一步的資金分配
金色財經此前報道,今年 4 月份 Hundred Finance 遭黑客攻擊,損失約 700 萬美元。[2023/8/10 16:16:52]
2.1攻擊者相關信息
百金融被攻擊tx:
0x534b84f657883ddc1b66a314e8b392feb35024afdec61dfe8e7c510cfac1a098
Hundred Finance遭黑客攻擊,損失700萬美元:金色財經報道,據PeckShield Inc.在社交媒體上發文稱,Hundred Finance遭黑客攻擊,損失700萬美元。[2023/4/16 14:06:22]
攻擊合約:0xdbf225e3d626ec31f502d435b0f72d82b08e1bdd
攻擊地址:0xd041ad9aae5cf96b21c3ffcb303a0cb80779e358
攻擊后跨鏈匿名化:https://etherscan.io/txs?a=0xd041ad9aae5cf96b21c3ffcb303a0cb80779e358
龍舌蘭被攻擊tx:
0xa262141abcf7c127b88b4042aee8bf601f4f3372c9471dbd75cb54e76524f18e
NFT游戲Blockchain Monster Hunt與Rainmaker Games達成合作:2月8日消息,多鏈NFT游戲Blockchain Monster Hunt近日宣布,與P2E游戲平臺Rainmaker Games達成合作,后者成為GUILD Program的成員。[2022/2/8 9:37:45]
攻擊合約:0xF98169301B06e906AF7f9b719204AA10D1F160d6
攻擊地址:0x0a16a85be44627c10cee75db06b169c7bc76de2c
攻擊后跨鏈匿名化:https://etherscan.io/txs?a=0x0a16a85be44627c10cee75db06b169c7bc76de2c
摩洛哥Attijariwafa銀行加入RippleNet網絡,并與Thunes達成合作:金色財經報道,摩洛哥最大的銀行機構Attijariwafa Bank已加入RippleNet網絡。Attijariwafa Bank管理的資產規模達533億美元,此次合作將使該銀行能夠與其合作伙伴進行即時交易。Attijariwafa Bank還宣布與新加坡企業對企業(B2B)跨境支付網絡Thunes建立合作伙伴關系。據悉,RippleNet的銀行合作伙伴包括Santander、Bank of America、IndusInd Bank、Banco Rendimento等。(U.Today)[2022/1/20 9:00:36]
2.2攻擊流程
由于百金融與龍舌蘭攻擊流程與手法類似,因此我們使用百金融進行分析。
Hundred Finance宣布將向veHND持有者空投3.75萬枚FTM:官方消息,Hundred Finance宣布,將向跨鏈veHND持有者空投Fantom(FTM)代幣。此前,Fantom推出3.7億枚FTM激勵計劃。Hundred Finance有資格在12個月共收到90萬枚FTM。Hundred Finance計劃分兩次向veHND持有者空投37,500 FTM,第一次根據公告之前Arbitrum、Fantom和Harmony鏈上快照的余額,并將進行第二次快照。所有資格用戶需在Fantom Opera提交申領。[2022/1/15 8:50:26]
百金融攻擊調用流程
1、攻擊者利用合約在三個池子中利用閃電貸借出WXDAI和USDC
2、在WETH池子質押借出的部分USDC
3、利用重入利用一筆質押,超額借出池子中資金
4、重復質押-重入借出步驟,將其他兩個池子資產超額借出
5、歸還閃電貸
6、獲利轉移
2.3漏洞細節
導致本次問題的根本原因是由于在Gnosis鏈上的官方橋接代幣xDAI合約中實現了一個對于to地址的回調
合約實現地址:
https://blockscout.com/xdai/mainnet/address/0xf8D1677c8a0c961938bf2f9aDc3F3CFDA759A9d9/contracts
該回調將直接導致重入漏洞的產生,同時由于在HundredFinance團隊fork的Compound版本中沒有嚴格遵循檢查-生效-交互,進而導致了總借貸量更新晚于重入實現。最終攻擊者得以超額借貸。
類似的,對于Agave項目方,攻擊者利用liquidateCall函數內部調用會調用xDAI的callAfterTransfer方法進行回調,最終導致攻擊者能再次進行借貸。
在百金融攻擊中攻擊者重入的調用路徑如下:
在Agave攻擊中攻擊者回調路徑如下:
3.總結
此次遭受攻擊的兩個借貸項目由于錯誤的引入了存在重入的token,同時項目方的fork的代碼沒有采用檢查-生效-交互模式導致了問題的發生。
我們強調:對于一個優秀的項目的引用必須建立在足夠的理解和嚴謹的開發上,尤其是存在差異化的部分,切忌顧此失彼最終因為一個小的差錯導致項目全部的損失。
近期,各類合約漏洞安全事件頻發,合約審計、風控措施、應急計劃等都有必要切實落實。
Tags:UNDDREANCFINCompound 0xdrep幣官網YFUNI FinanceQuoll Finance
預言機在傳統資產所有權過渡以及在二級市場交易的數字資產方面擴大信任度并提高效率。 證券化是為非流動資產設計金融工具的過程,這些資產可以在二級市場上出售,并可能為所有者帶來收益.
1900/1/1 0:00:00“波卡知識圖譜”是我們針對波卡從零到一的入門級文章,我們嘗試從波卡最基礎的部分講起,為大家提供全方位了解波卡的內容,當然這是一項巨大的工程,也充滿了挑戰.
1900/1/1 0:00:00DataSource:FootprintAnalytics-February2022ReportDashboard2月,雖然俄烏沖突引發的宏觀經濟狀況下降,但區塊鏈領域的應用仍在穩步運行.
1900/1/1 0:00:00北京時間2022年3月31日上午10時左右,Fuse上的OlaFinance被惡意利用,導致約400萬美元資產遭受損失.
1900/1/1 0:00:00瑞士盧加諾,2022年3月3日–Tether是支持區塊鏈技術的科技公司,驅動著市值最大的穩定幣(USD?),今天宣布與充滿活力的瑞士城市盧加諾合作.
1900/1/1 0:00:001、 據BTC.com數據,在哈薩克斯坦恢復網絡后,近三日比特幣挖礦全網算力已經超過200EH/s,達到歷史新高。此前外界普遍預計,2022年比特幣全網算力將達到300EH/s.
1900/1/1 0:00:00