以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads
首頁 > Gateio > Info

CertiK:十天內三起“炸橋案” 概覽_DGE

Author:

Time:1900/1/1 0:00:00

隨著區塊鏈技術的發展及各類新增長的出現,加密貨幣生態系統隨之產生了更多的安全風險及復雜性。

在2021年的基礎上,2022年的攻擊賽道又出現了一位“強力選手”。跨鏈橋作為新的攻擊載體,安全性方面的發展尚未成熟。因此,跨鏈橋也是所有項目以及開發人員應該提高警惕的領域之一。

2022年的春節假期尚未結束時,跨鏈橋即發生了兩起重大攻擊,算上春節前的另一起同類事件,短短10天內的三起攻擊事件使得黑客在跨鏈橋方面取得了“傲人”成績。

在對這幾起事件進行了解之前,我們需要先知道什么是跨鏈橋以及它的原理。用一個相對簡單的描述:bridge可將資產從一個區塊鏈轉移到另一個區塊鏈。?

跨鏈交易

49204枚BNB從未知錢包轉移到Binance:金色財經報道,據Whale Alert監測,16分鐘前有49,204 枚BNB (約15,108,239美元) 從未知錢包轉移到Binance。[2023/5/31 11:50:33]

跨鏈交易的步驟如下:

1.用戶將代幣“存入”一條鏈上的“bridge合約”,并生成一個證明,指定所需的跨鏈信息。

2.bridge合約驗證該證明,隨后在目標鏈上用戶可以從bridge合約中"提取"代幣。在最近的三起事件中,攻擊者注入欺騙性數據,繞過驗證,將目標鏈上的相應代幣提取到指定地址。

Bridges上的常見攻擊媒介

QubitBridge漏洞事件

Alien.Fi宣布取消Xirtam項目IAO活動:4月26日消息,Arbitrum 生態 DEX AlienFi 在社交媒體上發文表示,其原定于 4 月 26 日啟動的 Xirtam 項目 IAO 活動已取消。據 AlienFi 提供的對話截圖和文字解釋稱,Xirtam 此前對 Alien.Fi 隱瞞了曾以 0.0125 美元完成過一輪種子輪銷售的事實,而這一價格約等于本次 IAO 價格的 30%。

AlienFi 補充表示,Xirtam 在知道事情瞞不住后拒絕給 Alien.Fi 用戶更低的 IAO 參與價格,并試圖刪除相關聊天記錄,AlienFi 及時截取屏幕以保留事實相關信息才成功將其公之于眾。[2023/4/27 14:29:08]

攻擊者偽造數據繞過bridge合約的數據真實性檢查,在沒有提供任何加密貨幣的情況下使bridge合約產生了攻擊者已存款的虛假時間證明。

數據:BTC已實現上限達到15個月低點:金色財經消息,據Glassnode數據顯示,BTC已實現上限剛剛達到15個月低點,數額為385,688,808,817.36美元。[2022/12/8 21:31:01]

其根本原因在于ETH和ERC-20的存款共享相同的事件證明。這允許攻擊者調用該函數利用不存在的ERC20存款事實生成虛假的ETH存款事件證明,并以此在另一條鏈上提取ETH。

在這種情況下合約中的漏洞被觸發——當代幣地址是EOA時,“safeTransferFrom”函數不會回退。因此,攻擊者在沒有向合約發送任何代幣的情況下獲取了證明。

事件詳細分析請戳:https://certik.medium.com/qubit-bridge-collapse-exploited-to-the-tune-of-80-million-a7ab9068e1a0

以太坊L2網絡總鎖倉量跌至46.3億美元:金色財經報道,L2BEAT數據顯示,以太坊Layer2上總鎖倉量為46.3億美元。近7日跌1.68%,其中鎖倉量最高的為擴容方案Arbitrum,約23.8億美元,占比51.36%。其次是Optimism,鎖倉量14.1億美元,占比30.43%。dYdX占據第三,鎖倉量3.58億美元,占比7.74%。[2022/10/16 14:29:20]

Meter?Bridge漏洞事件

該漏洞與Qubitbridge漏洞很相似——攻擊者避過bridge合約向bridge提供不存在的代幣證明從而跳過了驗證過程,從而可以在另一個鏈上提取代幣。

Bridge合約提供了兩個方法:deposit和depositETH。

然而,這兩個方法產生了相同的存款事件證明,并且deposit函數并沒有阻止WETH/WBNB的存款交易,也沒有銷毀或鎖定WETH/WBNB。

黑客通過使用deposit,在沒有任何真實存款的情況下使bridge合約產生了虛假的WETH/WBNB存款事件證明。

Solana跨鏈橋蟲洞事件

Solana蟲洞的漏洞事件中,攻擊者通過向指令注入一個惡意的“sysvaraccount”來繞過“verifysignature”,并偽造了一個鑄造Wormhole-wrappedEther的消息。

這個漏洞的根本原因是在驗證簽名過程中,程序使用了一個在Solana更新至1.8.0時即被廢棄的“load_current_index”函數。

該函數不會驗證輸入的“sysvaraccount”是否真的是“systemsysvar”,從而攻擊者可以趁機偽造這個關鍵帳戶。

此后,攻擊者利用此偽造的賬戶生成了虛假的鑄幣信息,然后根據得到的鑄幣在目標鏈上提取了相應真實代幣。

三起“炸橋案”總結

Qubit以及Meter.io的bridge代碼未能處理臨界情況,也就是說,合約的ERC20存款功能可以用來生成虛假的ETH/BNB存款事件證明,而后者成為了目標鏈上提取真實ETH/BNB的憑證。

Wormholebridge則是其合約未驗證調用者注入的“sysvaraccount”,從而產生了虛假的鑄幣信息。

總而言之,上述三起事件都是由于驗證過程的缺陷而造成的。

如何應對該類漏洞?

在上述攻擊中,我們可以吸取到一些關鍵教訓:

1.對于不同的功能,比如ERC20的存款和ETH/BNB的存款,合約應產生不同的事件證明。

2.始終記得驗證用戶注入的輸入。

3.密切關注近期漏洞事件,并檢查其他項目是否存在類似情況。

4.需要對每個bridge的核心合約進行相應審計。

除此之外,當該漏洞發生后,我們應該:

1.停止中繼消息層并暫停代幣傳輸,bridge合約也應暫停所有充提幣功能。

2.立即通知社區、交易所和平臺合作伙伴,監控資金流向。

3.建立與權威安全專家們的溝通渠道,進行有效的討論和信息共享。

4.識別、驗證和修復漏洞。及時測試以確保現有的漏洞得到解決以及未產生新的漏洞,同時對bridge合約進行升級。

5.評估損失,并與社區就被利用的資產數量、可追回的資產以及補償計劃進行坦誠地溝通

Tags:DGEBRIIDGBRIDGESMUDGEMyBricksSQUIDGAMESAllbridge

Gateio
明星帶貨NFT大賣!是誰在買單?_NFT

我們之前介紹過周董與潮牌PHANTACi發售NFT項目PhantaBear之間牽扯不明的前世今生,讀者戲稱這是周董個人營銷之路的開始;2022年,周董沒有心思發專輯.

1900/1/1 0:00:00
報告:全球加密貨幣所有者預計今年將超過 10 億_加密貨幣

根據Crypto.com的一份報告,到今年年底,全球加密貨幣所有者的數量預計將超過10億。報告指出,“各國再也不能忽視公眾對加密貨幣日益增長的推動.

1900/1/1 0:00:00
從智能汽車到智慧出行--區塊鏈能打通車聯網的任督二脈嗎?_區塊鏈

互聯網巨頭百度早在2017年就開始布局無人駕駛,華為也在2021年攜鴻蒙系統入局汽車產業。科技公司的“入股”為智能汽車產業發展注入新動力的同時,也推動著車聯網向下一個階段進發.

1900/1/1 0:00:00
熊市令人興奮的 5 個理由,如何在熊市抓住財富密碼?_加密貨幣

原文作者:DavidHoffman,Bankless 原文編譯:東尋 我的許多朋友在2021年進入了加密領域,他們都只是希望價格上漲……當然,誰不希望自己的投資組合價值增長?所以.

1900/1/1 0:00:00
在蘋果公司CEO透露將投資元宇宙后 其股價大漲_元宇宙

蘋果公司首席執行官蒂姆·庫克在該公司2022年第一季度財報電話會議上表示,他認為元宇宙領域有相當大的潛力,隨后蘋果的股價在盤后交易中大幅上漲.

1900/1/1 0:00:00
新年穿新衣 舊衣怎么辦?_區塊鏈

春節臨近 在坐上回家的列車之前 兜里紅包要準備好 如何糊弄來自親戚的“靈魂提問”要打打草稿走親訪友要穿的“戰袍”也不能落下無論男女老少,每到新年時刻總要為自己添置新衣,讓自己新年有一個新形象.

1900/1/1 0:00:00
ads