BTC/HKD-0.22%
ETH/HKD+1.86%
LTC/HKD+3.13%
DOT/HKD+2.73%
ADA/HKD+2.96%
SOL/HKD+3.63%
XRP/HKD+1.87%
DOGE/US+3.54%前言
北京時間2022年2月5日晚，http://Meter.io跨鏈協議遭到攻擊，損失約430萬美元。知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。
分析
基礎信息
tx：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
NFT游戲MetaElfLand完成300萬美元融資，MagnetVC領投:據官方消息，Web3公司MetaSoft元軟旗下首款NFT育成游戲MetaElfLand元靈大陸完成300萬美元策略輪融資，由MagnetVC領投，Dealean Capital、Polaris Incubator、Cryptic Guil、ZC capita、3S group等參投。MetaSoft旨在打造一個與各社區共建Web3.0和元宇宙的大型社會實驗平臺。[2022/7/12 2:07:56]
攻擊者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
Metallicus獲批在北卡羅萊納州提供Metal Pay錢包服務:Metallicus近日宣布，通過獲得美國北卡羅萊納州的貨幣轉移許可證，現在被批準向居住在北卡羅萊納州的人們提供Metal Pay。這意味著Metal Pay的產品可以在該州范圍內發展。通過注冊Metal Pay，北卡羅來納州人可以購買、出售、發送和接收加密貨幣。Metal Pay提供通過其銀行合作伙伴獲得FDIC保險的現金錢包，用戶可以通過借記卡、ACH存款或電匯為賬戶提供法定貨幣入金。[2021/10/8 20:13:41]
Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001
Polygon 與 Metaverse 游戲開發公司 Decentral Games 合作:9月9日消息，Polygon 與 Metaverse 游戲開發公司 Decentral Games 達成合作，共同推動Play-to-Earn游戲發展。其中此次合作中，Polygon 將在 Decentral Games 投資和質押 DG 代幣，并且 Decentral Games 將加入 Polygon 的游戲和 NFT 部門「Polygon Studios」的生態系統，從而集成 Polygon 網絡并實現新的可擴展性，用戶能以更低的成本加速游戲內交易。[2021/9/9 23:12:10]
ERC20Handler：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51
漏洞原理
漏洞關鍵在于跨鏈橋合約的deposit函數中，deposit函數會根據resourceID取相應的depositHandler，并調用deposit函數進行實際的質押邏輯。
而在depositHandler的deposit函數中，存在邏輯缺陷，當tokenAddress不為_wtokenAddress地址時進行ERC20代幣的銷毀或鎖定，若為_wtokenAddress則直接跳過該部分處理。
該存在缺陷的邏輯判斷可能基于在跨鏈橋合約中的depositETH函數會將鏈平臺幣轉為wToken后轉至depositHandler地址，所以在depositHandler執行deposit邏輯時，已處理過代幣轉移，故跳過代幣處理邏輯。
但跨鏈橋合約的deposit函數中并沒有處理代幣轉移及校驗，在轉由deposiHandler執行deposit時，若data數據構造成滿足tokenAddress==_wtokenAddress即可繞過處理，實現空手套白狼。
總結
本次攻擊事件核心原因在于http://Meter.io跨鏈橋depositHandler質押處理器中，存在邏輯判斷缺陷，滿足了跨鏈橋合約depositETH的邏輯場景，但忽視了deposit邏輯場景存在繞過缺陷。
近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。
過去的一周,波場TRON項目進展順利,為滿足波場TRON全球社區愛好者閱讀,本周周報共分為14種語言,請您選擇閱讀.
1900/1/1 0:00:00加入DAO,即代表認同它的工作方式 為了理解人們為何會加入一個去中心化的自治組織,“無許可/Permissionlessness”這個詞是一個不錯的切入點.
1900/1/1 0:00:00據最新消息,USDD存款挖礦現已上線JustLend,用戶只需在JustLend存入USDD就可獲得JST+USDD存款挖礦獎勵.
1900/1/1 0:00:00最近,美國《華盛頓郵報》將俄烏之戰描述為“世界首次加密戰爭”。伴隨加密貨幣合法化、加密貨幣捐款、加密貨幣制裁等新生事件,在充滿立場與是非的現實世界,加密世界的輪廓愈發鮮明…注視著近期BTC的行情.
1900/1/1 0:00:00在圈里待久了的人都知道,像區塊鏈行業發展日新月異那樣,全球主流數字貨幣排行榜可謂「常看常新」。去年的前十名和今年的前十名可能多半都不一樣,個別熱潮興起的時候,甚至月與月之間的排名,都能“換血”多.
1900/1/1 0:00:00電信運營商為坦桑尼亞提供2.5億美元的計劃總部位于倫敦的公司已開始在肯尼亞安裝空中節點 谷歌Loon項目氣球攝影師：MartyMelville/AFP/GettyImages以太坊巨鯨大量囤積R.
1900/1/1 0:00:00
以太幣交易所
