跨鏈交易協議THORChain被攻擊事件分析_AIN

北京時間7月23日，去中心化跨鏈交易協議?THORChain(RUNE)再次遭遇攻擊，包括XRUNE在內的多種ERC20代幣受到影響，涉及損失約800萬美元。THORChain已是一個月內第三次受到攻擊，此前在7月16日遭受攻擊，損失約4000ETH；在6月29日遭受惡意攻擊，損失14萬美元。

SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。

ClassZZ Swap跨鏈交易保險功能上線5小時，質押CZZ總價值達292536.74美金:據CZZ技術社區消息，ClassZZ Swap跨鏈交易保險功能上線5小時，用戶單幣質押2056773枚ECZZ，1311955枚BCZZ 、2322648枚HCZZ，總價值達292536.74美金。保險合約為CZZ持幣用戶提供單幣挖礦機會，并收取跨鏈交易用戶0.1%的手續費，平分給在保險合約中進行單幣質押挖礦的用戶。[2021/7/2 0:23:53]

一、事件分析

攻擊交易：https://etherscan.io/tx/0xce958939ba23771d0a0b80532c463b4cbbb175f4d14c08d9d27dd251f68a5da1

哈勃公鏈HCTP跨鏈交易協議進行功能分配:哈勃公鏈技術團隊對外宣布，基于Hubble Chain主網架構的HCTP跨鏈交易協議，開始進行關于區塊鏈跨鏈交易功能的分配。HCTP（Hubble Cross-chain Transaction Protocol）是哈勃公鏈的底層跨鏈交易技術，在其功能分配完成后，Hubble Chain 將同時支持區塊鏈之間的跨鏈轉賬，本鏈多資產的轉移，以及通過智能合約實現各種簡單或復雜的業務，賦能傳統金融行業，構建一個多元的去中心化智能金融價值網絡。[2020/6/28]

動態 | 阿里巴巴在美國申請名為“區塊鏈系統跨鏈交互域名管理方案”的專利:據cointelegraph報道，阿里巴巴在美國申請了一項名為“區塊鏈系統跨鏈交互域名管理方案（Domain Name Management Scheme for Cross-Chain Interactions in Blockchain Systems）”的專利。8月15日，阿里巴巴提交了最新的申請，延續了2018年11月的申請。根據提交的文件，阿里巴巴打算為一個系統申請專利，該系統使用他們所謂的“統一區塊鏈域名”(UBCDN)來表示和共享信息。在該系統中，阿里巴巴建議使用計算系統生成UBCDN消息，該消息包含區塊鏈域名和與該名稱配對的鏈標識符。[2019/8/16]

圖1攻擊者攻擊THORChainRouter獲取XRUNE代幣

攻擊者調用THORChainRouter合約的transferOut函數向攻擊者轉了一筆數量為amount的代幣，代幣的類型由asset的類型來確定，轉賬的sender為THORChainRouter的合約地址。

圖2?THORChainRouter合約的TransferOut函數

圖3?通過TransferOut函數牟利Sushi幣

攻擊者之所以可以實現這樣的攻擊，是因為THORChainRouter合約的TransferOut函數漏洞導致--使用asset.call(abi.encodeWithSignature("transfer(address,uint256)",to,amount))語句進行轉賬;

圖4?YFI.sol中的transfer

圖5?FiatToken.sol中的transfer

圖6?XRUNE.sol中的transfer?

在使用call函數時，msg.sender的值為THORChainRouter地址，執行環境為被調用者的運行環境，因此會調用asset代幣合約中的transfer函數，向接收者轉出代幣。而此次攻擊者攻擊THORChainRouter合約牟利的六種代幣合約中，實現轉賬的函數均為"transfer(address,uint256)"這種形式，這也使得攻擊者有可乘之機。

Tags：AINCHAHAIChainblockchain是什么類型的企業MECHA幣dogechain幣價格eXPerience Chain

Luna