1.前言
北京時間3月15日晚,知道創宇區塊鏈安全實驗室監測到Gnosis鏈上的借貸類協議HundredFinance與Agave均遭遇了閃電貸襲擊,包括AAVE的分支Agave和Compound的分支HundredFinance。協議損失超1100萬美元。目前項目方已暫停其數百個市場。
知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。
金融被攻擊tx:
0x534b84f657883ddc1b66a314e8b392feb35024afdec61dfe8e7c510cfac1a098
攻擊合約:0xdbf225e3d626ec31f502d435b0f72d82b08e1bdd
Genesis前副總裁Roshun Patel作為合伙人加入風險投資公司Hack VC:3月23日消息,Linkedin 顯示,Genesis 前副總裁 Roshun Patel 已于今年 2 月作為合伙人加入風險投資公司 Hack VC,在去年 3 月離職之前,Roshun Pate 在 Genesis 工作了三年多。
風險投資公司 Hack VC 由 Ed Roman 和 Alexander Pack 共同創立,去年初該公司宣布已從包括紅杉資本、富達和數字貨幣集團在內的支持者那里籌集了 2 億美元的資金,其支持的項目及初創公司包括 EigenLayer、Mirror 和 Mysten Labs 等。[2023/3/23 13:22:30]
攻擊地址:0xd041ad9aae5cf96b21c3ffcb303a0cb80779e358
企業云辦公軟件公司Phunware再次以497.5萬美元購入100枚比特幣:12月9日消息,企業云辦公軟件公司Phunware宣布以約497.5萬美元的現金再次購買了100枚比特幣,平均每比特幣價格約為49,750美元。
截至2021年12月9日,Phunware總共持有約630個比特幣,這些比特幣的總購買價格約為3680萬美元,平均購買價格約為每枚比特幣58513美元。(globenewswire)[2021/12/9 7:28:51]
攻擊后跨鏈匿名化:https://etherscan.io/txs?a=0xd041ad9aae5cf96b21c3ffcb303a0cb80779e358
Eric Balchunas:Coinbase考慮在平臺上支持ETFs:金色財經報道,據彭博社ETF專家Eric Balchunas稱,Coinbase考慮在平臺上支持ETFs。一方面,我明白了,但另一方面,誰會在正常情況下支付1.49%來交易比特幣ETF?
這就是為什么我說ETF將震撼加密貨幣世界。加密貨幣的中介機構習慣于收取高昂的費用。ETFs則生活在相對貧困的環境中。$BITO(更不用說即將到來的現貨ETF)在任何地方都是1bp的交易。Coinbase應該對此感到害怕。[2021/11/10 6:43:06]
龍舌蘭被攻擊tx:
0xa262141abcf7c127b88b4042aee8bf601f4f3372c9471dbd75cb54e76524f18e
攻擊合約:0xF98169301B06e906AF7f9b719204AA10D1F160d6
攻擊地址:0x0a16a85be44627c10cee75db06b169c7bc76de2c
攻擊后跨鏈匿名化:https://etherscan.io/txs?a=0x0a16a85be44627c10cee75db06b169c7bc76de2c
2.2攻擊流程
由于百金融與龍舌蘭攻擊流程與手法類似,因此我們使用百金融進行分析。
百金融攻擊調用流程
1、攻擊者利用合約在三個池子中利用閃電貸借出WXDAI和USDC
2、在WETH池子質押借出的部分USDC
3、利用重入利用一筆質押,超額借出池子中資金
4、重復質押-重入借出步驟,將其他兩個池子資產超額借出
5、歸還閃電貸
6、獲利轉移
2.3漏洞細節
導致本次問題的根本原因是由于在Gnosis鏈上的官方橋接代幣xDAI合約中實現了一個對于to地址的回調
合約實現地址:
https://blockscout.com/xdai/mainnet/address/0xf8D1677c8a0c961938bf2f9aDc3F3CFDA759A9d9/contracts
該回調將直接導致重入漏洞的產生,同時由于在HundredFinance團隊fork的Compound版本中沒有嚴格遵循檢查-生效-交互,進而導致了總借貸量更新晚于重入實現。最終攻擊者得以超額借貸。
類似的,對于Agave項目方,攻擊者利用liquidateCall函數內部調用會調用xDAI的callAfterTransfer方法進行回調,最終導致攻擊者能再次進行借貸。
在百金融攻擊中攻擊者重入的調用路徑如下:
在Agave攻擊中攻擊者回調路徑如下:
3.總結
此次遭受攻擊的兩個借貸項目由于錯誤的引入了存在重入的token,同時項目方的fork的代碼沒有采用檢查-生效-交互模式導致了問題的發生。
我們強調:對于一個優秀的項目的引用必須建立在足夠的理解和嚴謹的開發上,尤其是存在差異化的部分,切忌顧此失彼最終因為一個小的差錯導致項目全部的損失。
近期,各類合約漏洞安全事件頻發,合約審計、風控措施、應急計劃等都有必要切實落實。
隨著區塊鏈技術的快速發展,各類項目屢見不鮮。然而,目前還沒有出現真正落地應用的項目。不久前,筆者社區了解到,一個應用于實體商業的項目flyingfish飛魚,真的讓我大開眼界.
1900/1/1 0:00:001ASRomaFanToken(ASR)TokenSaleResultTheGate.ioStartupASRomaFanToken(ASR)saleresultisasfollows:ASRS.
1900/1/1 0:00:00尊敬的XT.COM用戶:因NEAR錢包升級維護,XT.COM現已暫停NEAR充提業務。給您帶來的不便,請您諒解!感謝您對XT.COM的支持與信任.
1900/1/1 0:00:00作者:0xShan、JackDing|W3.Hitchhiker修訂:Marina、Evelyn|W3.Hitchhiker 一、GameFi概覽 GameFi已成為加密行業最火熱的賽道之一.
1900/1/1 0:00:00關於Gate.ioStartup免費空投計劃爲回饋平臺用戶,Gate.io上線“免費空投計劃”,在Startup區不定期進行區塊鏈項目的免費空投計劃.
1900/1/1 0:00:00原文作者:MarioGabriele原文翻譯:BlockunicornMulticoinCapital?可能是有史以來表現最好的風險基金.
1900/1/1 0:00:00