以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads

Superfluid_HQ被黑分析-ODAILY

Author:

Time:1900/1/1 0:00:00

前?

2022年2月8日,知道創宇區塊鏈安全實驗室監測到以太坊上的DeFi協議superfluid遭遇黑客攻擊,損失超1300萬美元。實驗室第一時間跟蹤本次事件并分析。

攻擊涉及基礎信息

Superfluid:0xEBbe9a6688be25d058C9469Ee4807E5eF192897f

輕量級節點協議Superblock完成800萬美元融資:7月22日消息,輕量級節點協議Over Protocol開發商Superblock完成800萬美元融資,SK、Netmarble、DSC、E&Investment、Schmidt、SpringCamp、NaverZ參投。[2023/7/22 15:51:58]

攻擊交易hash:0x396b6ee91216cf6e7c89f0c6044dfc97e84647f5007a658ca899040471ab4d67

Optimism上線 “超級鏈”Superchain頁面:過去2年已為用戶節省26.9億美元鏈上費用:金色財經報道,Optimism在社交媒體宣布上線以太坊L2 Base“超級鏈”Superchain頁面,Optimism表示過去兩年已累計為用戶節省了26.9億美元的費用、15.8年的交易確認等待時間,Superchain建立在OverPowered(OP)Stack上,尋求將原本孤立的L2集成到一個可互操作和可組合的系統中,是一個水平可擴展的鏈網絡,共享安全性、通信層和開源開發堆棧。此外,Coinbase將加入OP Labs,為Optimism Collective使命做出貢獻。[2023/2/24 12:26:45]

黑客地址:0x1574F7F4C9d3aCa2EbcE918e5d19d18aE853c090

跨鏈預言機解決方案SupraOracles與智能投資協議Merged Finance達成合作:據官方消息,跨鏈預言機解決方案SupraOracles宣布與智能投資解決方案Merged Finance達成合作。

Merged Finance使投資者能夠接觸到加密貨幣的多元化指數。Merged Finance實施自動資產平衡系統,幫助投資者維持利潤率。智能平衡系統提高指數回報,并在每次鑄造和銷毀活動中執行,最大限度地減少交易費用支出。

SupraOracles將幫助Merged Finance確保準確執行資產平衡,根據再平衡順序按比例分配指數代幣。此外,SupraOracles的跨鏈預言機將有助于其提供準確數據,從而加強Merged Finance的安全特性。[2022/7/26 2:38:20]

攻擊合約地址:0x32D47ba0aFfC9569298d4598f7Bf8348Ce8DA6D4

漏洞分析

漏洞核心

此次漏洞核心在于函數callAgreement,該函數主要作用在于提供一個名為"ctx"的數據結構,“ctx”被用于協議間的通信共享。而此次事件的攻擊者就是對”ctx“數據進行了偽造,達到欺騙合約的目的。

漏洞利用

為什么假數據會被采用以及攻擊者是如何構造假“ctx”數據的?

從交易中可以看到攻擊者是直接在callData結尾處傳入了假“ctx”,同時真“ctx”數據也被構建出來了的,只是程序在處理數據時會將callData數據與“ctx”打包成一個對象,當協議對該對象進行解碼時,ABI解碼器僅會處理位于前面的數據而忽略掉后面的數據。

而構建一個假“ctx”數據也并不復雜,由于“ctx”結構末尾為全零所以僅需要仿照“ctx”結構將其直接添加在userData中,以下是官方示例如何構建一個假“ctx”:

總結

本次攻擊事件在于協議數據處理時無條件信任來源數據,應當對用戶數據與官方構造數據進行標識區分。近期,各類合約漏洞安全事件頻發,合約審計、風控措施、應急計劃等都有必要切實落實。

Tags:SUPCTXUPESUPESUPS價格CTXC幣SUPER價格SUPERSQUID幣

以太坊交易
Euterpe獲香港頭部金融交易所生態基金投資-ODAILY_EUT

版權NFT交易平臺Euterpe今日宣布獲得HKICEx(香港國際商品交易所)投資。HKICEx隸屬于HKFAEx。香港金融資產交易集團是香港三大交易所之一.

1900/1/1 0:00:00
超6億美元資金被盜,Ronin跨鏈橋被攻擊事件簡析-ODAILY_ETH

超6億美金加密貨幣被盜 3月29日,區塊鏈項目平臺Ronin宣布被黑,約超6億美元的加密貨幣被盜.

1900/1/1 0:00:00
重蹈覆轍?為何DEUS協議再受攻擊-ODAILY_DEI

前言 北京時間4月28日,Fantom平臺DEUS協議又一次遭到攻擊,損失約1340萬美元,知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析.

1900/1/1 0:00:00
走進Seba Bank:世界上第一家受監管的加密銀行-ODAILY_SEBA

距離瑞士蘇黎世乘火車不到半小時,在風景如畫的楚格鎮中心,有一座百年歷史的建筑,有著優美的壁畫外墻、古老的木天花板和柔和的百葉窗.

1900/1/1 0:00:00
OpenSea挑戰者揭竿而起,誰又會成為下一個競爭者?-ODAILY_ZOR

繼LooksRare之后,誰是OpenSea的下一個競爭者?頂級機構Paradigm投資的Zora是一個不容忽視的存在,原因主要有兩點:1.股東背景豪華.

1900/1/1 0:00:00
Qredo已獲得SOC2 1類合規性認證-ODAILY_Qredo

倫敦,2022年3月17日—Qredo是用于數字資產托管和結算的分散式第2層基礎設施,已獲得服務機構控制類型1類的認證.

1900/1/1 0:00:00
ads