AIN:跨鏈交易協議THORChain被攻擊事件分析_Chain

北京時間7月23日，去中心化跨鏈交易協議?THORChain(RUNE)再次遭遇攻擊，包括XRUNE在內的多種ERC20代幣受到影響，涉及損失約800萬美元。THORChain已是一個月內第三次受到攻擊，此前在7月16日遭受攻擊，損失約4000ETH；在6月29日遭受惡意攻擊，損失14萬美元。

SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。

跨鏈交易聚合器 LI.FI 完成 550 萬美元融資，1kx 領投:7月11日消息，跨鏈交易聚合器 LI.FI 完成 550 萬美元融資，1kx 領投，參投方包括 Dragonfly Capital、Lattice Capital、Scalar Capital、6th Man Ventures、Coinbase Ventures、BairesDAO 和 AngelDAO 等。本輪融資將用于通過營銷及支持其他區塊鏈來擴展 LI.FI 生態。（CoinDesk）[2022/7/11 2:06:14]

一、事件分析

DogeSwap與Class ZZ（CZZ）跨鏈交易POW公鏈戰略合作底層跨鏈交易源:據官方消息，HECO DogeSwap將與CZZ進行戰略合作，CZZ的跨鏈協議將會通過DogeSwap將HECO上代幣與其他鏈上Dex代幣進行跨鏈交易。Class ZZ 本身是一條 PoW 公鏈，其核心功能之一是支持本社區研發的 Te Waka 協議，以完全去中心的方式來實現資產跨鏈。

DogeSwap是由狗狗社區在Heco上發起的去中心化交易所，0私募，0預挖，完全社區自治，通過了慢霧科技權威企業的安全代碼審計。注：DOG暫未發行，注意區分真偽。[2021/3/17 18:52:33]

攻擊交易：https://etherscan.io/tx/0xce958939ba23771d0a0b80532c463b4cbbb175f4d14c08d9d27dd251f68a5da1

動態 | 阿里巴巴在美國申請名為“區塊鏈系統跨鏈交互域名管理方案”的專利:據cointelegraph報道，阿里巴巴在美國申請了一項名為“區塊鏈系統跨鏈交互域名管理方案（Domain Name Management Scheme for Cross-Chain Interactions in Blockchain Systems）”的專利。8月15日，阿里巴巴提交了最新的申請，延續了2018年11月的申請。根據提交的文件，阿里巴巴打算為一個系統申請專利，該系統使用他們所謂的“統一區塊鏈域名”(UBCDN)來表示和共享信息。在該系統中，阿里巴巴建議使用計算系統生成UBCDN消息，該消息包含區塊鏈域名和與該名稱配對的鏈標識符。[2019/8/16]

圖1攻擊者攻擊THORChainRouter獲取XRUNE代幣

攻擊者調用THORChainRouter合約的transferOut函數向攻擊者轉了一筆數量為amount的代幣，代幣的類型由asset的類型來確定，轉賬的sender為THORChainRouter的合約地址。

圖2?THORChainRouter合約的TransferOut函數

圖3?通過TransferOut函數牟利Sushi幣

攻擊者之所以可以實現這樣的攻擊，是因為THORChainRouter合約的TransferOut函數漏洞導致--使用asset.call(abi.encodeWithSignature("transfer(address,uint256)",to,amount))語句進行轉賬;

圖4?YFI.sol中的transfer

圖5?FiatToken.sol中的transfer

圖6?XRUNE.sol中的transfer?

在使用call函數時，msg.sender的值為THORChainRouter地址，執行環境為被調用者的運行環境，因此會調用asset代幣合約中的transfer函數，向接收者轉出代幣。而此次攻擊者攻擊THORChainRouter合約牟利的六種代幣合約中，實現轉賬的函數均為"transfer(address,uint256)"這種形式，這也使得攻擊者有可乘之機。

Tags：AINChainCHAHAIMesChainChainge FinancewiseblockchainProvenance Blockchain

Gateio