創宇區塊鏈｜小缺陷大損失 GYM Network 何至于此_GYM

前言

北京時間2022年6月8日，知道創宇區塊鏈安全實驗室?自動數據監測工具監測到BSC鏈上NFT項目GYMNetwork因"PublicdepositFromOtherContract"權限控制問題被攻擊，損失包括7475枚BNB，共計約216W美元，目前已將兌通過DEX換70W美元的ETH通過Celer跨鏈到以太坊，2000枚BNB利用BSC-Tornado進行混幣，余下3000枚BNB在攻擊者地址。

知道創宇區塊鏈安全實驗室?第一時間跟蹤本次事件并分析。

基礎信息

被攻擊合約：0x0288fba0bf19072d30490a0f3c81cd9b0634258a

InfStones推出以太坊驗證者服務:4月19日消息，Web3基礎設施提供商InfStones宣布推出以太坊驗證者服務，旨在滿足以太坊上海升級后的市場需求，支持用戶一鍵設置自己的驗證節點，機構實體可以一次單擊批量處理多達1000個驗證者。此外，InfStones還將與其他流動性質押協議合作以降低32ETH質押門檻。（prnewswire）[2023/4/19 14:12:57]

攻擊者地址：0xB2C035eee03b821cBe78644E5dA8B8eaA711D2e5

攻擊合約：0xcD337b920678cF35143322Ab31ab8977C3463a45、0x68b5f1635522ec0e3402b7e2446e985958777c22

tx：0xfffd3aca0f53715f4c76c4ff1417ec8e8d00928fe0dbc20c89d875a893c29d89

市場監管總局：積極探索大數據、區塊鏈等新技術在互聯網平臺監管執法中的應用:金色財經報道，4月13日，國家市場監督管理總局局長羅文表示，加強數字化建設，提升智慧監管能力和水平。積極探索大數據、區塊鏈、人工智能等新技術在互聯網平臺監管執法中的應用，加快建設國家網絡交易監管平臺，加強全網監測預警和風險防控，重點增強穿透監管能力，實現統一指揮、統一調度、快速響應、及時處置，提升監管的精準性、及時性和有效性。優化服務舉措，更好釋放數字經濟發展動能。[2023/4/13 14:01:57]

GymSinglePool代理合約:0xa8987285e100a8b557f06a7889f79e0064b359f2

漏洞分析

項目方在GymSinglePool合約中實現過程中對于0x0288fba0bf19072d30490a0f3c81cd9b0634258a#depositFromOtherContract函數缺少了權限控制，導致攻擊者能夠通過該函數調用內部_autoDeposit函數實現零消耗質押：

觀點：當前衍生品持倉數據表明市場看漲情緒明顯:1月3日消息，Deribit首席商務官Luuk Strijers表示，2023年6月的期權持倉數據顯示，整體看跌/看漲比率為0.24，意味著看漲期權是看跌期權持倉量的三倍，這通常代表看漲情緒。此外，比特幣最大痛點價格為19,000美元，相比于當前現貨價格16,700美元附近，也顯示出上漲潛力。[2023/1/3 22:22:37]

對于應該開放給用戶的質押內部函數是_deposit函數，該函數實現了對于token的審批傳入，如下圖所示：

Space and Time完成2000萬美元戰略融資，微軟M12基金領投:9月27日消息，Web3原生數據平臺Space and Time宣布完成由微軟M12基金領投的2000萬美元戰略融資，其他投資者包括Framework Ventures、HashKey、Foresight Ventures、SevenX Ventures、Polygon、Blizzard Fund（Avalanche生態基金）、Stratos、Hash Global、CoinDCX以及幾位Web3頭部社區和天使投資人。融資資金將用于構建一個去中心化的數據倉庫，支持將所有中心化服務器中的數據轉化為無需信任的數據源，供智能合約調用。[2022/9/27 5:55:02]

對應的_autoDeposit函數則實現了"特權"質押，即不需要轉入Token進行質押。同時該函數直接暴露給了用戶，函數對比如下：

OpenNode與Primer達成合作，幫助全球商家提供比特幣支付方式:金色財經消息，比特幣支付處理器和基礎設施提供商OpenNode宣布與Primer建立新的合作伙伴關系，將使世界各地的商家能夠接受比特幣作為產品和服務的支付方式。

據悉，Primer是在全球范圍內運營的商業和支付自動化平臺，提供易于使用的基礎設施來構建更好的購買體驗。通過其合作關系，使用Primer的商家現在可以通過一鍵式集成方案添加比特幣作為結賬支付選項。（Prweb）[2022/5/18 3:23:23]

攻擊流程

攻擊者為了防止鏈上MEV和搶跑機器人，將合約進行了分步部署執行，同時部署/調用了多次以完成對GymNetwork合約(0x3a0d9d7764FAE860A659eb96A500F1323b411e68)中的GYMNETToken完全抽離，以其中一筆部署調用為例：

1.部署合約后調用depositFromOtherContract實"特權"質押，對應0xfd4a2266方法：

內部調用細節如下:

2.調用0x30649e15實現對上一步特權質押的Token回撤：

3.利用0x1d111d13函數售出獲取到的的GYM-Token：

重復多次"特權"質押--回撤--售出步驟，攻擊者最終獲取到7475枚BNB:

為了抑制搶跑，攻擊者將添加質押和回撤進行了步驟分離，兩個步驟均為核心操作，同時刻意提高添加部分步驟的GasPrice為15/20gwei,可見攻擊者是有意為之。

溯源處置

本次攻擊原因是項目方實現的特權函數權限控制不當，在攻擊發現的1小時后項目方將GymSinglePool代理合約的邏輯合約進行了多次修改，為其添加了權限控制：

并在20分鐘后對邏輯合約添加了緊急賬戶處置函數：

而對于項目方Deployer地址分析，其部署的多個GymSinglePool合約根據追蹤僅在兩天前部署的GymSinglePool合約中存在漏洞，4天前的合約則不存在此函數：

同時代理合約對應的邏輯合約被升級為漏洞合約的事件發生在在2days13hrsago：

攻擊者的資金準備(FromTornado)則在約6小時以前，攻擊者的身份也值得令人深思。

總結

雖然只是一處小的控制缺陷，卻導致了數百萬美元的損失。項目方的處置雖較為及時，漏洞導致的損失卻難以挽回。該類型漏洞在審計過程中很容易被發現并將歸納到邏輯缺陷/不安全的外部調用，各項目方在開發和審計流程上切莫大意。

來源：金色財經

Tags：GYMDEPPOSPOSIGYMAIDEPOMNPoSTreePOSI幣

中幣交易所