以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads
首頁 > PEPE > Info

區塊鏈安全月報——盤點解析 1 月典型安全事件_TOK

Author:

Time:1900/1/1 0:00:00

此篇文章由Cobo區塊鏈安全研究團隊供稿,是?Cobo?Labs?的第??4??篇文章。

跨鏈橋Multichain漏洞

1月18日知名跨鏈橋Multichain發現并修復了一個針對WETH,PERI,OMT,WBNB,MATIC,AVAX共6種代幣有重要影響的漏洞。凡對MultichainRouter授權過上述代幣的用戶均受影響,攻擊者可直接利用漏洞轉走用戶授權的代幣。根據19日的官方公告,由于部分用戶未及時取消授權,有約445WETH被攻擊者盜走。

漏洞發生在AnyswapV4Router合約上的anySwapOutUnderlyingWithPermit函數中,由于函數對Token參數的合法性沒有校驗,攻擊者可傳入偽造的Token合約來代替原本官方的AnyswapV1ERC20?Token。另一方面WETH等代幣合約沒有實現permit方法但是實現了fallback函數,因此在后續調用permit時不會發生revert,可以繼續成功執行下去。最終導致攻擊者可以將受害者approve給AnyswapV4Router合約的Token盜走。

關鍵代碼如下:

BAYC #1626在以太坊永久銷毀并在比特幣區塊鏈上鑄造為“銘文5413”:2月13日消息,據BAYC #1626持有者Jason A. Williams在社交媒體稱,NFT社區正在轉向比特幣區塊鏈,Ordinals協議為數字藏品帶來了真正的稀缺性,因此決定將BAYC #1626鑄造在世界上最稀缺和最安全的區塊鏈上,并將使用TeleBurn在以太坊區塊鏈上永遠銷毀,之后也不會再回到以太坊,目前BAYC #1626在比特幣區塊鏈上鑄造為“銘文 5413”。[2023/2/14 12:04:44]

CoboComment

對于普通用戶來說,需要特別留意Token無限授權所帶來的風險。授權盡可能保證只授權用到的Token數量,而不要使用默認的無限授權,避免節約了gas卻丟失了本金。對已有的無限授權要及時撤銷,查詢賬戶的授權情況可以使用Etherscan的工具https://etherscan.io/tokenapprovalchecker。

Reference

https://github.com/W2Ning/Anyswap_Vul_Poc

https://theblockbeats.info/news/28774

工信部開展專項行動?完成對區塊鏈服務等產品的IPv6改造:3月23日消息,為貫徹落實《推進互聯網協議第六版(IPv6)規模部署行動計劃》任務要求,工業和信息化部決定于2020年開展IPv6端到端貫通能力提升專項行動。到2020年末,完成包含云主機、容器引擎、負載均衡、域名解析、區塊鏈服務、視頻直播、人臉識別等在內的全部公有云產品的IPv6改造。(工業和信息化部)[2020/3/23]

https://hackernoon.com/erc20-infinite-approval-a-battle-between-convenience-and-security-lk60350r

BSC上的DEXCrosswise遭攻擊

1月18日BSC上的DEX項目Crosswise遭受攻擊,損失約30萬美金,并造成CRSSToken幣價閃崩。

問題是因MasterChef合約的setTrustedForwarder函數沒有正確進行權限校驗。當攻擊者修改了TrustedForwarder后,可以實現偽造msg.sender的效果,從而直接獲取到MasterChef的owner權限。然后再利用owner權限調用set函數設置?strategy為攻擊者的惡意參數0xccddce9f0e241a5ea0e76465c59e9f0c41727003。修改strategy后通過少量deposit即可withdraw大量的CRSSToken獲利。

動態 | 神州信息:圍繞區塊鏈開展的創新取得了實質進展:據證券時報網消息,神州信息(000555.SZ)董事長郭為在發送給員工的信中表示,2019年,神州信息已發布涵蓋170個活躍產品、700多個軟件著作權的金融科技產品全向圖,以及包含5G、物聯網、人工智能、區塊鏈、云計算、大數據等592項前沿技術的技術圖譜。從整體來看,圍繞大數據、AI和區塊鏈開展的創新取得了實質進展。[2020/1/7]

官方公告也承認這個漏洞過于明顯,似乎是開發者有意為之,其內部調查后開除了4個開發者。目前已經對鏈上數據進行了快照,后續將進行重新部署。官方git上已經開始進行整體的代碼審計,據稱后續會再聯合Certik進行審計。

相關代碼如下:

官方公告也承認這個漏洞過于明顯,似乎是開發者有意為之,其內部調查后開除了4個開發者。目前已經對鏈上數據進行了快照,后續將進行重新部署。官方git上已經開始進行整體的代碼審計,據稱后續會再聯合Certik進行審計。

CoboComment

此次攻擊針對的是MasterChef合約,其實不會直接盜取用戶的LP或者CRSStoken,但幣價大跌還是會讓持有CRSS的用戶造成實際的損失。查看官方doc上無法找到項目審計報告,此漏洞比較明顯,如果經過安全公司審計的話,很大概率可以暴露出來。對于個人投資者來說,未經過審計的項目還需謹慎。

聲音 | 宋亞萍:區塊鏈等技術的發展 給傳統出版業帶來極大挑戰:據西安晚報報道,7月16日,陜西人民出版社總編輯宋亞萍接受記者采訪時表示,目前傳統出版業還有很大的發展空間,隨著科學技術的發展,特別是大數據、區塊鏈、云計算、融媒體等新興技術的迅猛發展,給傳統出版業帶來了極大的挑戰,當然也帶來了很多機遇,我們也會采取積極主動的方式來適應當下的發展。[2019/7/17]

Reference

https://twitter.com/peckshield/status/1483340900398895105

https://crosswise.medium.com/post-exploit-update-2a24c3370466

https://bscscan.com/address/0x70873211cb64c1d4ec027ea63a399a7d07c4085b#code

https://github.com/crosswise-finance/crosswise-code-review-1.1

Rari#90即FloatProtocolPool遭受預言機操縱攻擊

1月15日,RariCapital上的90號池即FloatProtocol池遭受預言機操縱攻擊。

動態 | Bitcoin Oil和區塊鏈開發公司Deqode已簽署意向書:據PRWeb消息,3月26日,Bitcoin Oil(BTCO)和區塊鏈開發公司Deqode宣布,已于2019年2月23日簽訂意向書(LOI),意向書概述了Bitcoin Oil和Deqode計劃啟動其區塊鏈開發的技術任務和創新戰略。[2019/3/27]

該池使用UniswapV3FLOAT/USDC交易對報價,而在攻擊發生之前幾天,FLOAT/USDC池中流動性下降,低流動性給了攻擊者進行進行預言機操縱攻擊的機會。攻擊者使用47ETH在池中使用USDC兌換FLOAT,導致FLOAT報價升高。之后再使用FLOAT抵押到Rari#90池中借出其他資產實現獲利。攻擊手法與2021年11月發生的Rari#23池VesperLendBeta攻擊一致。

CoboComment

對于一些無法使用ChainLink預言機報價的小幣種,DeFi合約中通常會使用DEX作報價。目前UniswapV2/V3延時報價雖然可以抵抗閃電貸攻擊,但無法抵抗真實的大資產操縱;而TWAP時間加權機制雖然可以在一定程度上提高操縱難度,但只能緩解不能根除。從開發者角度,可以考慮在合約中添加一定風控類代碼針對惡意報價進行檢查。對普通用戶而言,則要留意相關的流動性池,提防價格操縱風險。

Reference

https://twitter.com/FloatProtocol/status/1482184042850263042

https://medium.com/vesperfinance/on-the-vesper-lend-beta-rari-fuse-pool-23-exploit-9043ccd40ac9

DefiDollar發現潛在攻擊

1月8日DefiDollarFinance(

漏洞本身雖然嚴重但成因并不復雜,比較有意思的是官方的修復方式。由于合約本身不支持升級,因此無法直接更新合約代碼;合約不支持暫停,因此也沒法用快照+遷移的方式轉移用戶資產。最終官方的措施是自己發動了攻擊交易,將所有受漏洞影響用戶的資產轉移到了一個多簽錢包中。待后面部署新Token合約后會再行分配。

CoboComment

ERC20Token已經有比較成熟的代碼模板,wxBTRFLY是在重寫transferFrom時出現的問題。這個問題如果有完善的單元測試應該會很容易發現,項目方可能在開發過程中是缺少完善的測試流程。

Reference

https://discord.com/invite/rpkPDR7pVV

https://twitter.com/redactedcartel/status/1482497468713611266?s=20

https://etherscan.io/tx/0xf0e4ccb4f88716fa5182da280abdb9ea10ec1c61cfc5bbe87e10bdde07c229d6

Qubit跨鏈橋被攻擊

1月28日,BSC上的DeFi平臺QubitFinance的跨鏈橋QBridge遭受攻擊,損失約8000萬美金。

跨鏈橋一種常見的實現形式是在源鏈的合約中抵押資產,并emitevent。由監聽節點捕捉event,向目標鏈的跨鏈橋合約發起調用,mint等量的資產。來源鏈上只要有event事件產生,跨鏈橋系統就會認為有跨鏈資產需要轉移。但如果源鏈上跨鏈橋合約代碼存在問題,就可能出現沒有資產抵押進跨鏈橋合約但仍emitevent的情況,產生漏洞,造成目標鏈Token的錯誤增發。

QBridge就存在這樣的問題。QBridge支持抵押ETH和ERC20Token兩類資產。由于以太坊的ETH作為native代幣,與ERC20Token由兩套單獨的代碼處理。在源鏈抵押Token時,會調用deposit方法,在抵押時ETH應該調用depositETH方法。QBridge將零地址作為ETH的標識。但是實現時沒有完善的校驗,導致合約處理ETH時仍使用deposit方法,相當于將ETH當成了合約地址為零地址的Token處理。在轉賬時使用transferFrom則相當于是對零地址進行合約調用。而以太坊底層設計上,對EOA地址發起合約調用會默認成功,不會revert。以上條件結合起來,最終的情況就是雖然攻擊者在源鏈沒有抵押任何資產,但仍可以在目標鏈上mint出大量qXETH,實現獲利。

CoboComment

目前區塊鏈行業中多鏈并存,跨鏈橋已經是重要的基礎設施。跨鏈橋本身由于要進行鏈上鏈下配合,整體復雜度要比普通dapp高上許多,因此更容易出現問題。同時跨鏈橋上通常會抵押大量的資產,如果可以非法轉移那么獲利頗豐。各個跨鏈橋系統似乎成為了攻擊者們最近一兩月中的重點目標。

Reference

https://mp.weixin.qq.com/s/PLbuI9JFxyFRlDlj9rPvmQ

https://mp.weixin.qq.com/s/-kTsAs2WH5_4N4_3-XIxag

Tags:TOK區塊鏈KENCOM最新imtoken官網下載我朋友做區塊鏈被捉了怎么辦imtoken官網正版Comma Chain

PEPE
加拿大將卡車司機抗議活動相關比特幣地址列入黑名單_比特幣

據TheCounterSignal2月16日消息,加拿大安大略省警察局和加拿大皇家騎警下令所有受監管的金融公司停止與34個加密錢包地址有關的任何交易.

1900/1/1 0:00:00
在元宇宙里造車,開什么玩笑?!_元宇宙

來源:公眾號量子位 作者:金磊賈浩楠 金磊賈浩楠 這年頭,連造車都搞進元宇宙里去了???瞧,一位外國小哥頭戴VR,手持設備,就開始了一通“謎之操作”: 一位中國的小姐姐與小哥哥,也在做類似操作.

1900/1/1 0:00:00
廣東高院發布虛擬貨幣典型案例:不法投融資活動不受法律保護_區塊鏈

據南方網報道,2月22日,廣東省高級人民法院發布2021年度全省法院涉互聯網十大案例。其中,韋某等與章某等網絡侵害虛擬財產糾紛案入選.

1900/1/1 0:00:00
一文解讀區塊鏈技術的5大安全隱患及解決方案_區塊鏈

《區塊鏈行業觀察》專欄·第76?篇作者丨MANANSHAH 圖片丨來源于網絡 毫無疑問,區塊鏈技術近年來越來越受歡迎.

1900/1/1 0:00:00
進入元宇宙對企業意味著什么?如何利用VR商業化的優勢“破圈”元宇宙?_比特幣

原標題:《布加迪、西門子等企業如何利用VR商業化的優勢“破圈”元宇宙?》Meta,前身Facebook,并不是第一家在數字時代與未來工作變革方向作斗爭的公司.

1900/1/1 0:00:00
央視網快看官微發布元宇宙相關視頻_區塊鏈

巴比特訊,2月24日,央視網快看官方微博發布元宇宙視頻。視頻中,清華大學新聞與傳播學院教授沈陽解釋了“什么是元宇宙”:一,把目前的互聯網從二維升級到三維;二,自然人、虛擬人和機器人的三者聯動;三.

1900/1/1 0:00:00
ads