Meter.io 攻擊事件分析_POS

前言

北京時間2022年2月5日晚，Meter.io 跨鏈協議遭到攻擊，損失約 430 萬美元。知道創宇區塊鏈安全實驗室 第一時間跟蹤本次事件并分析。

分析

基礎信息

tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591

知情人士：Meta將發布商業版的AI模型，允許企業構建定制軟件:7月13日消息，Meta準備發布商業版的AI模型，允許初創公司和企業能夠在此基礎上構建定制軟件。Meta今年早些時候向研究人員和學者發布了語言模型LLaMA，新版本將更廣泛地面向企業，并可由其進行定制，知情人士表示預計很快就會發布該版本。[2023/7/13 10:52:28]

攻擊者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01

Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001

數據：MetaMaskSwaps累計成交額226.31億美元，累計成交量538.18萬筆:金色財經報道，據Dune Analytics數據顯示，MetaMaskSwaps功能累計成交額226.31億美元，截至目前達到22,631,505,071美元；累計成交量超過500萬筆，當前為5,381,852筆。此外，現階段MetaMask周均Swap交易成功率為98.18%，獨立賬戶數為1,392,709個。[2022/9/26 7:20:46]

ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51

風投公司MetaWeb首支基金募資3000萬美元，將投資DeFi、游戲和DAO:金色財經消息，專注于加密初創公司的風險投資公司MetaWeb Ventures宣布已為其第一只基金募資3000萬美元，得到紅杉資本、蜻蜓資本、Near Foundation等支持。MetaWeb在郵件中表示，該基金旨在主要投資于去中心化社交媒體、去中心化金融(DeFi)、游戲和DAO。

MetaWeb 表示，該基金在過去幾個月以隱形模式運作，已經投資了30多家初創公司，其中包括去中心化交易協議 Orderly Network。MetaWeb Ventures 是作為NEAR Protocol的生態系統基金而成立的。（CoinDesk）[2022/9/9 13:18:14]

漏洞原理

漏洞關鍵在于跨鏈橋合約的deposit函數中，deposit函數會根據resourceID取相應的depositHandler，并調用deposit函數進行實際的質押邏輯。

而在depositHandler的deposit函數中，存在邏輯缺陷，當tokenAddress不為_wtokenAddress地址時進行 ERC20 代幣的銷毀或鎖定，若為_wtokenAddress則直接跳過該部分處理。

該存在缺陷的邏輯判斷可能基于在跨鏈橋合約中的depositETH函數會將鏈平臺幣轉為wToken后轉至depositHandler地址，所以在depositHandler執行deposit邏輯時，已處理過代幣轉移，故跳過代幣處理邏輯。

但跨鏈橋合約的deposit函數中并沒有處理代幣轉移及校驗，在轉由deposiHandler執行deposit時，若data數據構造成滿足tokenAddress == _wtokenAddress即可繞過處理，實現空手套白狼。

總結

本次攻擊事件核心原因在于 Meter.io 跨鏈橋 depositHandler質押處理器中，存在邏輯判斷缺陷，滿足了跨鏈橋合約depositETH的邏輯場景，但忽視了deposit邏輯場景存在繞過缺陷。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：POSPOSIDEPDEPOCPOS幣POSI價格

比特幣價格