以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads
首頁 > 非小號 > Info

鑄幣疑云 —— Paid Network 被盜細節分析_AVA

Author:

Time:1900/1/1 0:00:00

據消息,以太坊DApp項目PaidNetwork遭受攻擊。攻擊者通過合約漏洞鑄造近1.6億美元的PAID代幣,并獲利2000ETH(約300萬美元)。慢霧安全團隊在第一時間跟進并分析,現在將細節分析給大家參考。

攻擊細節分析

Punk.Network嚴正聲明,目前并未鑄幣或是上線任何DEX與CEX:據官方消息,目前市場已出現假冒PunkNetwork治理通證Punk,Punk.Network嚴正聲明,目前并未鑄幣或是上線任何DEX與CEX。Punk.Network基金會現已開始調查,對于發布不實信息、造成市場恐慌或形成實際影響的作惡者,將保留訴訟的權利。[2021/5/2 21:18:03]

以上是整個攻擊過程的調用流程細節。

可以看到整個攻擊過程非常的簡單,攻擊者通過調用代理合約中函數簽名為(0x40c10f19)的這個函數,然后就結束了整個攻擊流程。由于這個函數簽名未知,我們需要查閱這個函數簽名對應的函數是什么。

Kava將于今晚10點發放超20萬美元鑄幣獎勵:據官方公告,跨鏈DeFi協議Kava將于今日北京時間22點針對平臺鑄幣用戶發放第一批獎勵,獎勵為74000個KAVA代幣(當前價值約20萬美元)。Kava鑄幣獎勵活動將持續一年時間,總獎勵池達到3,848,000 KAVA。目前Kava CDP借貸平臺已抵押96.46萬BNB,鑄造出500萬USDX穩定幣。

Kava是一個支持多資產抵押的跨鏈DeFi協議,支持主流數字資產的抵押及穩定幣貸款服務。[2020/8/5]

Kava 鑄幣獎勵開啟時間將延遲至2020年7月1日:跨鏈 DeFi項目 Kava在官方推特宣布,穩定幣 USDX 鑄幣獎勵計劃啟動時間將推遲到7月1日。

Kava表示延遲的原因為在創建 Kava穩定委員會的過程中,Kava Labs 忽略了將其中一個控制開啟 / 關閉BNB用戶獲得USDX鑄幣獎勵的參數進行委托,以至于穩定委員會無法對鑄幣獎勵計劃進行快速投票。目前該參數仍需要通過鏈上治理流程開啟獎勵,需要大約2周的時間。

Kava 同時表示,在 Kava-3升級后的前2個小時內,一些使用CLI的技術用戶就將 USDX 的債務限額達到系統上限。目前Kava CDP系統已經抵押超過40,000BNB 并鑄造超150,000USDX。[2020/6/17]

通過查閱這個函數簽名,我們發現這個簽名對應的正是mint函數。也就是說,攻擊者直接調用了mint函數后就結束了攻擊過程。那么到這里,我們似乎可以得出一個mint函數未鑒權導致任意鑄幣的漏洞了。通過Etherscan的代幣轉移過程分析,似乎也能佐證這個猜想。

但是,事實真是如此嗎?

為了驗證未鑒權任意鑄幣的這個想法,我們需要分析合約的具體邏輯。由于PaidNetwork使用的是合約可升級模型,所以我們要分析具體的邏輯合約(0xb8...9c7)。但是在Etherscan上查詢的時候,我們竟然發現該邏輯合約沒有開源。

這個時候,為了一探究竟,我們只能使用反編譯對合約的邏輯進行解碼了。通過Etherscan自帶的反編譯工具,可以直接對未開源合約進行反編譯。在反編譯后,我們卻發現了一個驚人的事實:

通過反編譯,我們不難發現,合約的mint函數是存在鑒權的,而這個地址,正是攻擊者地址(0x187...65be)。那么為什么一個存在鑒權的函數會被盜呢?由于合約未開源,無法查看更具體的邏輯,只能基于現有的情況分析。我們分析可能是地址(0x187...65be)私鑰被盜,或者是其他原因,導致攻擊者直接調用mint函數進行任意鑄幣。

總結

本次攻擊過程雖然簡單,但是經過細節分析后卻有了驚人的發現。同時這次的攻擊也再次對權限過大問題敲響了警鐘。如果這次的mint函數給到的鑒權是一個多簽名地址或是使用其他方法分散權限,那么此次攻擊就不會發生。

參考鏈接:

攻擊交易:

https://etherscan.io/tx/0x4bb10927ea7afc2336033574b74ebd6f73ef35ac0db1bb96229627c9d77555a0

Tags:AVAKAVAMINORKSAVANTAI價格kava幣能漲到多少Minereum BSCShyft Network

非小號
除了中本聰,比特幣的背后還有這些男人_ETH

區塊鏈、數字貨幣、資金盤傳銷騙局......項目深度分析鑒定都在鑒查院原標題:《原來比特幣的背后,不止有中本聰!》BALD流動性池僅剩6枚ETH,項目方移除了374枚ETH:7月31日消息.

1900/1/1 0:00:00
黃天威:冷靜點看元宇宙,它離我們還很遠很遠_元宇宙

巴比特訊,區塊鏈從業者黃天威在微博發言稱,要冷靜點看元宇宙,他說。1,元宇宙游戲是一種新的精神滿足方式,這跟KTV唱歌、釣魚休閑本質上并沒有什么區別,不要過份神化它.

1900/1/1 0:00:00
布局下一波熱潮:速覽未來可能引領市場的板塊和項目_區塊鏈

原文作者:Tindorr,加密?KOL原文編譯:Felix,PANews因為迷因幣的基本面很差,所以大家都知道熱潮是短暫的.

1900/1/1 0:00:00
深度 | 企業破產清算中的區塊鏈應用思考_區塊鏈

本文來源:未央網,作者:黃銳 引言 2020年,受到新冠肺炎疫情影響,全球經濟陷入低迷。據Statista數據分析顯示,2020年美國已經有400多家大型企業宣布破產,這已是十年來最糟糕的數據.

1900/1/1 0:00:00
阿里云爭食幣圈_WEB

阿里云的觸手正在向幣圈延伸。幾天前,阿里云與Avalanche區塊鏈和MUADAO聯合推出Cloudverse,為想要在鏈上部署元宇宙的企業提供一站式解決方案.

1900/1/1 0:00:00
巴比特午間要聞一覽_FTX

1.蕾哈娜旗下美妝品牌FentyBeauty申請元宇宙和NFT相關商標2.研究:2028年全球制造業市場區塊鏈規模預計將超過140億美元Sino Global Capital:在FTX上托管了數.

1900/1/1 0:00:00
ads