FTX:猖獗黑客“薅”交易所羊毛？FTX交易所遭到Gas竊取攻擊事件分析_GAS

Author：

Time：1900/1/1 0:00:00

2022年10月13日，據據Beosin EagleEye Web3安全預警與監控平臺的輿情消息，FTX交易所遭到gas竊取攻擊，黑客利用FTX支付的gas費用鑄造了大量XEN TOKEN。

金色財經邀請Beosin安全團隊第一時間對事件進行了分析，結果如下：

其中一部分攻擊交易：

0xc96b84cd834655290aa4bae7de80a3c117cc19d414f5bcf2fb85b8c5544300890x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d690x6bada8e084f8d3b62311f0b6eda10f2690e7542dab75a0de436a640036bccf94

當前Arbitrum的AIP-1提案反對票比例達78.4%:4月3日消息，Arbitrum 在推特表示，Arbitrum 基金會擬將 AIP-1 提案分解為一系列單獨的提案投票，并且承諾將在本周對該提案的每個部分進行重新修改，據悉，7.5 億枚 ARB Token 的分配或將進行獨立投票，同時為生態系統發展基金提供提供有關如何使用資金的背景信息和一份于基金會預算的“透明度報告”。

另據 Snapshot 最新投票數據顯示，AIP-1 當前反對票比例為 78.41%，贊成票比例為 19.4%，棄權票比例為 2.3%。[2023/4/3 13:41:17]

其中一個攻擊者地址0x1d371CF00038421d6e57CFc31EEff7A09d4B8760其中一個攻擊合約0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3被攻擊地址0xC098B2a3Aa256D2140208C3de6543aAEf5cd3A94(FTX熱錢包地址)

澳大利亞房地產開發公司Niecon與NFT房地產平臺All Set合作將價值300萬美元的別墅進行代幣化:12月30日消息，澳大利亞房地產開發公司 Niecon 與 NFT 房地產平臺 All Set 合作，將價值 300 萬美元的豪華別墅進行代幣化、分割以及出售，每個碎片價格為 10 美元。本次代幣化房產的銷售將于 2023 年 1 月進行，用戶可在 All Set 網站上購買任意數量的碎片 NFT 或者通過購買所有碎片來獲得房產的所有權。NFT 持有者將可以獲得房子的租金收入。[2022/12/31 22:17:36]

以其中一筆攻擊交易為例(0x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d69)第一步，攻擊者先在鏈上部署攻擊合約(0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3)第二步，FTX熱錢包地址會向攻擊合約地址轉入小額的資金，利用攻擊合約(0xCba9...7FD3)進行批量創建子合約。由于整個攻擊中創建了大量合約，并且每次執行完子合約之后，子合約都會自毀，所以以下圖為例部分展示。

印度儲備銀行行長：加密貨幣可能會給中央銀行管理貨幣政策的能力帶來問題:金色財經報道，印度儲備銀行 (RBI) 行長 Shaktikanta Das在接受ET Now采訪時表示，印度央行敲響的警鐘說服人們避免使用加密貨幣。我很高興我們發出了這些警告信號，有趣的是，我知道許多人沒有投資加密貨幣，或者由于儲備銀行的謹慎和擔憂，他們退出了加密貨幣。\u2028Das還重申了他的觀點，即加密貨幣可能會給中央銀行管理貨幣政策的能力帶來問題。央行一直堅持禁止加密貨幣是印度最合適的選擇。（Coindesk）[2022/8/23 12:43:31]

發送比特幣到交易所的7日平均地址數創11個月新低:6月27日消息，Glassnode數據顯示，發送比特幣到交易所的7日平均地址數（7d MA）降至4639個，創11個月來新低。[2022/6/27 1:33:35]

第三步，接下來子合約fallback()函數去向Xen合約發起鑄幣請求，如下函數，claimRank()函數傳入一個時間期限（最小1天）進行鑄幣，鑄幣條件是只用支付調用gas費，并無其他成本，并且claimMintRewardAndShare()函數為提取函數，該函數只判斷是否達到時間期限（本次黑客設置的時間期限為最小值1天），便可無條件提取到任何非零地址。但在此次調用過程中，交易發起者為FTX熱錢包地址，所以整個調用過程的gas都是由FTX熱錢包地址所支付，而Xen鑄幣地址為攻擊者地址。

前三個步驟，重復多次，并且每次重復過程中都會將已到期的代幣提取出來，并且同時發起新的鑄幣請求，黑客達成他的目標。

本次攻擊主要利用了FTX項目沒有對接收方為合約地址進行任何限制，也沒有對ETH的gas Limit進行限制，導致攻擊可以利用合約來鑄造XEN代幣進行獲利。截止發文時，Beosin安全團隊通過Beosin Trace對被盜資金進行追蹤分析，FTX交易所損失81ETH，黑客通過DODO，Uniswap將XEN Token換成ETH轉移。