合約漏洞：pNetwork被黑事件分析_UND

合約漏洞：pNetwork被黑事件分析

北京時間9月20日凌晨，pNetwork跨鏈項目遭到黑客攻擊，黑客利用BSC上pBTC的代碼漏洞，竊取了277枚BTC，損失價值高達1270萬美元。?

SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。

DeFi協議Glide Finance合約漏洞被利用，損失金額約30萬美元:10月18日消息，DeFi 協議 Glide Finance 發推稱，合約漏洞被利用，資金從配對合約中被抽走，損失金額約為 30 萬美元，漏洞原因為團隊在審計后進行了費用參數更改，但未將合約上的數字從 1000 更新為 10000。目前團隊正在聯系交易所阻止資金轉移，提醒在 Glide 流動性資金池中存放資金的用戶提取資金。

Glide Finance 是一個亦來云智能鏈（ESC）上運行的去中心化交易 / 自動化做市商、收益農業和 Staking 平臺，旨在通過充當用戶和建立在其上的項目的流動性來源來加速亦來云生態系統的采用。[2021/10/18 20:37:28]

一、事件分析

用于修復Compound代幣分發合約漏洞的64號提案已經執行:10月10日消息，去中心化借貸平臺Compound創始人Robert Leshner發推稱，用于修復Compound代幣分發合約漏洞的64號提案已經執行，正在修補合約漏洞。同時，Compound社區成員、加密產品開發公司GFX Labs創始人Getty Hill在推特上表示，修復工作將在10天后完成，但最終修復還需要65號提案。

此前報道，Compound 64號提案已于10月8日通過，該提案將對62號提案中的漏洞進行修復。[2021/10/10 20:18:11]

https://bscscan.com/address/0x2bf5693dd3a5cea1139c4510fdce120cf042c934

ChainSwap合約漏洞損失約800萬美元，超10種加密貨幣受到影響:跨鏈資產橋ChainSwap（ASAP）在其智能合約的一個關鍵漏洞被黑客利用后，已經損失了大約800萬美元。ChainSwap聲稱來自個人錢包的資金是安全的，但尚未恢復發送和提幣功能。目前有超過10種加密貨幣受到漏洞的影響，分別是WILD、MATTER、ROOM、UMB、NORD、RAZOR、PERI、VTX、ORO、VTX、BLANK、UFARM等。（U.today）[2021/7/11 0:43:29]

以其中一筆交易進行分析：https://bscscan.com/tx/0xe79e3ff4ef01a29475e6387a44c550df3e4c0a80177249bfdc9bbd66376b9ff6?整個攻擊寫在攻擊合約的構造函數中，并在攻擊完成后調用selfdestruct()函數銷毀合約，使得無法看到攻擊合約的細節內容。通過交易的事件并結合PToken合約源碼可知，攻擊者首先以amount:0，userData:0x，underlyingAssetRecipient:3LngKgsXQAnm5cLP43PZUGGvMau9uUzhky.作為輸入數據委托調用redeem函數。

隨后通過攻擊合約發送多個Redeem(_msgSender(),amount,underlyingAssetRecipient,userData)event事件。

觸發的redeem事件都是向攻擊者的多個比特幣地址轉賬相同數量1.38個左右的bitcoin，這是跨鏈攻擊中重要的環節。

以其中的一個比特幣地址查詢，可查到相同數量的bitcoin到賬。

通過pToken的介紹可知，跨鏈轉賬中只是通過查詢相關的deposit或redeem事件這種方式來確定btc的轉賬地址與數量，并沒有進行其他的檢查！使得黑客利用這一漏洞，在BSC上觸發多次redeem事件，竊取大量的BTC。

二、安全建議

SharkTeam提醒您，在涉足區塊鏈項目時請提高警惕，選擇更穩定、更安全，且經過完備多輪審計的公鏈和項目，切不可將您的資產置于風險之中，淪為黑客的提款機。

Tags：UNDCOMREDEDEIFUNDWrapped EcomiCREDIBreederDAO

LTC