EPE:千里之堤毀于蟻穴 Fortress Protocol 慘遭攻擊_NFT

前言

北京時間2022年5月9日，知道創宇區塊鏈安全實驗室監測到BSC鏈上借貸協議FortressProtocol因預言機問題被攻擊，這是最近實驗室檢測到的第三起預言機攻擊事件，損失包括1,048枚ETH和400,000枚DAI，共計約300W美元，目前已使用AnySwap和Celer跨鏈到以太坊利用Tornado進行混幣。

知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。

基礎信息

某PEPE獲利者于14小時前再度購買1.33萬億枚PEPE:5月13日消息，據 Lookonchain 監測，一位在 PEPE 上獲利 1219 枚 ETH (約合 220 萬美元) 的 SmartMoney 于 14 小時前再度花費 1173 枚 ETH (約合 210 萬美元) 購買了 1.33 萬億枚 PEPE，購買價格為 0.000001586 美元。

他曾花費 26 枚 ETH (約合 4.8 萬美元) 購買了 2.24 萬億枚 PEPE，購買價格為 0.00000002166 美元，然后以 0.0000009985 美元的價格兌換成 1245 枚 ETH (約合 224 萬美元)，收益達 48 倍。[2023/5/14 15:01:27]

被攻擊Comtroller：0x01bfa5c99326464b8a1e1d411bb4783bb91ea629

Web3軟件開發公司Thirdweb集成可租賃NFT標準ERC-4907:金色財經消息，Web3軟件開發公司Thirdweb現已集成可租賃NFT標準“ERC-4907”，開發者無需編寫任何代碼即可快速部署可租賃NFT。

“ERC-4907”由Double Protocol推出，并于6月29日正式成為以太坊第30個標準。該標準實現了NFT所有權和使用權的分離，以及使用權到期自動收回功能。[2022/8/18 12:34:19]

被攻擊預言機地址：0xc11b687cd6061a6516e23769e4657b6efa25d78e

攻擊者地址：0xA6AF2872176320015f8ddB2ba013B38Cb35d22Ad

韓國金融服務委員會將于明日啟動數字資產工作組，并討論數字資產框架法和ICO:8月16日消息，韓國金融服務委員會（FSC）將于 8月17日啟動數字資產工作組并召開首次會議，工作組將討論制定數字資產框架法和引入各種投資者保護措施。

《數字資產框架法》旨在將虛擬資產（加密貨幣）、NFT等各種數字資產正式納入制度體系。此外，數字資產工作組還會討論 ICO，FSC 計劃通過引入 ICO 規則來防止資不抵債的公司發行代幣。（韓國經濟新聞網）[2022/8/16 12:29:29]

攻擊合約：0xcD337b920678cF35143322Ab31ab8977C3463a45

Kusama網絡上線提名池解決方案:5月31日消息，Kusama宣布隨著runtime v0.9.22的發布，提名池已添加到Kusama runtime中。提名池是波卡NPoS系統的擴展解決方案，專門用于幫助具有較少代幣的賬戶直接在中繼鏈上質押，而不需要通過第三方服務。[2022/5/31 3:53:15]

tx：0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf

漏洞分析

該項目是依舊是Compound的仿盤，但由于項目方在預言機實現注釋了原本存在的檢查導致不需要足夠的power便可以通過0xc11b687cd6061a6516e23769e4657b6efa25d78e#submit篡改價格；

攻擊者通過改變FTS在協議中的價格借走了其他池子中的資產，市場中的借貸池如下：

攻擊流程

1、攻擊者購買了FTS代幣并通過提案投票支持添加FTS作為抵押物，提案ID為11；

2、通過調用預言機submit函數改變FTS的價格；

3、攻擊者使用100個FTS作為抵押物調用enterMarket進入市場；

4、由于市場價格對于FTS的價值計算出現問題，攻擊者使用該抵押品直接調用borrow進行借款；

借取的資產：

5、由于100個FTS沒什么價值不需要取回，而攻擊者后續仍將其他用于第一步的FTS還在Pancake兌換進行了徹底的套現。

總結

本次攻擊原因是Compound仿盤在預言機使用時出現了問題。近期大量Compound仿盤項目被攻擊，我們敦促所有Fork了Compound的項目方主動自查，目前已知的攻擊主要歸結于如下幾個問題：

千里之堤毀于蟻穴。從內部調用可見，本次攻擊者使用getAllMarkets依次遍歷拿取了全部市場的底層資產并將FTS徹底套現。建議項目方對于自己有不一樣的實現上一定要建立在充分的理解和足夠的第三方安全審計上。一點小的誤差將可能導致項目的全盤損失。

Tags：FTS數字資產NFTEPESNFTS數字資產類應用案例包括NFTD幣PEPERUNNER

萊特幣