買以太坊 買以太坊
Ctrl+D 買以太坊
ads

COMB:可避天災,難免人禍 —— Furucombo 被黑分析_UCO

Author:

Time:1900/1/1 0:00:00

據鏈聞消息,著名DeFi項目Furucombo被黑,損失超1400萬美元。慢霧安全團隊第一時間介入分析,并將攻擊細節分享給大家。

攻擊細節分析

本次發生問題的合約在Furucombo本身的代理合約當中。整個攻擊流程很簡單。攻擊者通過設置了Furucombo的AaveV2Proxy的邏輯地址導致后續通過Furucombo代理合約調用的邏輯全部轉發到攻擊者自己的惡意合約上,導致任意資金被盜。

但是如果事情那么簡單,那么本次分析不值一提。問題遠比想象的復雜得多。

如上圖所示攻擊者的入口在Furucombo的batchExec函數,我們先對batchExec函數進行分析:

以上是FurucomboProxy合約的batchExec函數的具體實現,其中_preProcess和_postProcess合約分別是對調用前后做一些數據上的處理,不涉及具體的調用邏輯,這邊可以先忽略。我們主要觀察核心的_execs函數:

WEF報告:加密貨幣已經到了不可避免的地步:據BeInCrypto消息,世界經濟論壇(World Economic Forum)加密貨幣全球未來理事會(Global Future Council on Cryptocurrencies)首次發布的報告概述了加密貨幣的前景。報告題為《加密,它的好處是什么?》,文中表示“加密貨幣已經到了不可避免的地步”。作者試圖展示主要金融用例的多樣性,以及使用加密技術的解決方案。然而,他們也表示,希望擴大加密貨幣討論的范圍,不只是限于“價格和金融投機”。[2020/12/20 15:50:16]

通過對execs代碼的分析不難發現,函數的主要邏輯是對configs數組的數據做檢查,并根據configs數組的數據對data進行一些處理。但是回顧上文中攻擊者的調用數據,不難發現攻擊者的調用數據中,configs的數據是一個0地址:

這里有一個trick,由于0地址是一個EOA地址,所有對EOA地址的函數調用都會成功,但是不會返回任何結果。結合這個trick,execs函數中的關于configs數據的部分可以先暫時忽略。直接看到最后的核心_exec函數:

聲音 | 美聯儲哈克:美聯儲將不可避免地推出數字貨幣:美聯儲費城聯邦儲備銀行行長哈克(Patrick Harker)重申:“我堅持認為,美聯儲將不可避免地推出數字貨幣。”(新浪財經)[2019/11/13]

_exec函數的邏輯也很簡單,在校驗了_to地址后,直接就將data轉發到指定的_to地址上了。而通過對攻擊交易的分析,我們能發現這個_to地址確實是官方指定的合法地址。

最后一步,便是調用_to地址,也就是官方指定的AaveV2Proxy合約的initialize函數,將攻擊者自己的惡意地址設置成AaveV2Proxy合約的邏輯地址。通過對Furucombo合約的分析,可以發現整個調用流程上沒有出現嚴重的安全點,對調用的地址也進行了白名單的檢查。那么問題只能是出在了對應要調用的代理邏輯上,也就是AaveV2Proxy合約。

我們直接分析AaveV2Proxy合約的initialize函數的邏輯:

聲音 | 以太坊基金會研究員:以太坊的法律問題將帶來不可避免的危機:昨日以太坊基金會研究員Vlad Zamfir在參加活動時發出明確警告:開發者需要開始考慮以太坊的法律地位,而不是僅僅希望以太坊的發展規模變大,直到政府不得不接受它。政府不會讓這種顛覆性的革命發生,所以以太坊現在需要適應。他表示,以太坊誕生于一場反主流文化、賽博朋克式的運動。在以太坊上,我們比比特幣走得更遠,我們不只是為了錢,而是為了一切。如果區塊鏈的創造者,繼續不受法律和政府的約束來行事,他們將帶來一些后果。(區塊律動)[2019/10/11]

可以看到initialize函數是一個public函數,并在開頭就檢查了_implementation是否是0地址,如果是0地址,則拋出錯誤。這個檢查的目的其實就是檢查了_implementation是否被設置了,如果被設置了,就無法再次設置。根據這個設置,不難想出initialize這個函數只能調用一次。除非AaveV2Proxy從來沒有設置過_implementation,否則這個調用是不會成功的。難道Furucombo真的沒有設置過對應的_implementation嗎?帶著這樣的疑問,我們檢查了交易內的狀態變化。如下:

聲音 | 愛沙尼亞金融監督管理局局長:試圖對抗Libra等加密貨幣毫無意義 監管不可避免:據ERR.ee 7月23日消息,愛沙尼亞金融監督管理局(FSA)局長Kilvar Kessler在接受采訪時表示,試圖對抗Facebook的Libra等加密貨幣毫無意義。監管機構應該努力詳細了解加密貨幣,并確保法律和規則得到相應的調整。Kessler對于Facebook的Libra發表評論稱:“唯一明智的做法是仔細研究它的細節,然后讓當局做出反應。原則上,貨幣領域的創新不應被拒絕:畢竟,貨幣是人類的發明。”[2019/7/23]

可以看到,交易中改變了存儲位置為0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc的內容,而寫入的內容正是攻擊者自己的惡意合約地址0x86765dde9304bea32f65330d266155c4fa0c4f04。

而0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc這個位置,正是_implementation數據的存儲地址。

以太坊的頂級開發人員認為區塊鏈分裂可能是不可避免的:據coindesk消息,上周晚些時候,以太坊開發者會議上討論了一個名為EIP 999的有爭議的代碼提案,導致一些人猜測以太坊可能正處于區塊鏈分裂的邊緣。贊成該提案的人指出由于錯誤的合同導致ETH頻繁的損失,他們認為該平臺應該確保避免這種可避免的錯誤。但另一方面,許多人警告說,部署該提案后,編輯代碼不僅會損害安全性,還會損害平臺的完整性。對此,萊特幣創始人李啟威在其社交媒體評論稱,以太坊可能會分裂成兩支隊伍。社區中一般的人想要實施這一提案來“拯救”ETH,另一半則想要保持不變。兩方的觀點是對立的,但沒有人預測這種分裂的情況將會發生。[2018/4/25]

也就是說,官方從來沒有設置過AaveV2Proxy合約的_implementation地址,導致攻擊者鉆了這個空子,造成了Furucombo資產損失。

總結

通過對整個事件的分析來看,Furucombo此次事故并不在安全漏洞的范疇內,主要的原因在于官方將未啟用的AaveV2Proxy合約添加進了自己的白名單中,并且未對AaveV2Proxy合約進行初始化,導致攻擊者有機可乘。

建議

目前,由于Furucombo遭受攻擊,導致任何將代幣授權過給Furucombo合約(0x17e8ca1b4798b97602895f63206afcd1fc90ca5f)的用戶都將面臨資金損失的風險。

慢霧安全團隊建議與Furucombo交互過的用戶檢查是否有將相關代幣授權給Furucombo合約。如有授權,應及時撤銷相關授權,避免進一步損失。

**參考鏈接:**

代幣授權檢查地址:https://approved.zone/

攻擊交易:

__https://ethtx.info/mainnet/0x6a14869266a1dcf3f51b102f44b7af7d0a56f1766e5b1908ac80a6a23dbaf449

往期回顧

王者開局偶遇豬隊友——簡析AlphaFinance&Cream被黑

BitMart入駐慢霧區,發布「安全漏洞與威脅情報賞金計劃」

引介|一種安全的LP價格的獲取方法

千萬美元損失背后的閃電貸攻擊——yearnfinance被黑簡析

如何通過恒定乘積黑掉SushiSwap?簡析SushiSwap第二次被攻擊始末

慢霧導航

慢霧科技官網

https://www.slowmist.com/

慢霧區官網

https://slowmist.io/

慢霧GitHub

https://github.com/slowmist

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

幣乎

https://bihu.com/people/586104

知識星球

https://t.zsxq.com/Q3zNvvF

火星號

http://t.cn/AiRkv4Gz

鏈聞號

https://www.chainnews.com/u/958260692213.htm

免責聲明:作為區塊鏈信息平臺,本站所發布文章僅代表作者個人觀點,與鏈聞ChainNews立場無關。文章內的信息、意見等均僅供參考,并非作為或被視為實際投資建議。

本文來源于非小號媒體平臺:

慢霧科技

現已在非小號資訊平臺發布68篇作品,

非小號開放平臺歡迎幣圈作者入駐

入駐指南:

/apply_guide/

本文網址:

/news/9726853.html

免責聲明:

1.資訊內容不構成投資建議,投資者應獨立決策并自行承擔風險

2.本文版權歸屬原作所有,僅代表作者本人觀點,不代表非小號的觀點或立場

上一篇:

盤點零知識證明代表性項目:如何影響和塑造區塊鏈生態系統?

Tags:COMCOMBCOMBOUCOECOM價格combo幣暴跌combo幣怎么樣kucoin成都辦事處

以太坊交易
CRYPT:a16z:NFTs 是加密經濟的下一個金礦?_AI Crypto

凱文-凱利在2008年的經典文章《1000名真正的粉絲》中預言,互聯網將改變創意活動的經濟學。要成為一個成功的創作者,你不需要幾百萬。你不需要數百萬美元或數百萬客戶,或數百萬粉絲.

1900/1/1 0:00:00
IDEO:方向向下 未見底! 院長說幣行情分析(2/26)_ComPro

本公眾號的文章只做研究、學習和交流使用,不具有任何的操作指導意義!幣圈唯一每天堅持視頻分析行情的公眾號!如果需要視頻行情分析.

1900/1/1 0:00:00
AUD:大餅還差一波殺跌。。。_Audius

現在,各個社群非常冷清,偶爾有幾個人吐槽一下,怎么又跌了?實際上,不是又跌,是根本還沒跌到位,只是沒有大陰線來得痛快,慢慢跌更具殺傷力,讓你忍不住割肉,比較瞄準人性更擊中要害.

1900/1/1 0:00:00
GOO:Google財經添加了“加密數據”標簽_LAR

由科技巨頭維護的數據網站Google財經現在擁有專用的“加密”字段。而且它的位置也很突出。在頁面的頂部,用戶可以“比較市場”,在五個默認市場中列出了加密貨幣,其中還包括美國,歐洲,亞洲和“貨幣”.

1900/1/1 0:00:00
幣虎2021年3月1日18:00上線REEF現貨&永續合約

尊敬的用戶: 幣虎DeFi區于2021年3月1日18:00上線REEF/USDT交易對。同時,幣虎合約交易區上線REEFUSDT永續合約,并開通逐倉/全倉1-25倍杠桿,邀您體驗!截止目前,幣虎.

1900/1/1 0:00:00
BTC:每日行情解讀 | BTC牛市并未結束,后市預計寬幅震蕩_USD

今天加密市場再度大跌,恐慌情緒蔓延。從直接原因看,美東時間周三,美國國債收益率再度大幅上漲,美股大跌,其中科技股更是遭受重創,特斯拉跌超8%.

1900/1/1 0:00:00
ads