成都鏈安揭露：FAIRWIN 智能合約漏洞技術分析_ETH:WIN

近日，FAIRWIN智能合約存在漏洞這一問題引起各方關注，FAIRWIN作為近日以太坊鏈上交易量最高的資金盤模式應用，在以太坊鏈上還存在大量類似的克隆盤，如果存在隱藏漏洞會給公鏈帶來較大風向，因此成都鏈安安全人員對FAIRWIN智能合約展開了深度分析，分析結果如下：通過對FAIRWIN合約代碼進行審計，我們發現其合約存在一個remedy()接口，如果合約owner沒有通過close()關閉接口時，該接口可以被任意用戶調用，并且可以通過這個接口偽造投注數據，實現“無中生有”，在不使用任何資金的情況下偽造了充值記錄，之后攻擊者便可以享受分紅，或者通過userWithDraw()將余額全部提出。

成都鏈安：BAYC項目具有被無限鑄幣的風險:據成都鏈安安全輿情監控數據顯示，BAYC項目具有被無限鑄幣的風險。成都鏈安安全團隊分析發現，合約的擁有者并非多簽錢包，合約擁有者可以任意調用reserveApes()函數進行鑄幣，每次調用函數可以直接鑄造30枚無聊猿NFT，如果合約所有者遭到釣魚攻擊或私鑰泄露等，可能會導致大量無聊猿NFT被鑄造并售賣。后面成都鏈安會持續監控該合約擁有者的動向。[2022/6/6 4:04:55]

通過鏈上記錄，我們發現項目方已于2019年7月28日通過closeAct關閉了該接口。通過成都鏈安Beosin-AML系統分析項目方所有的交易記錄，我們進一步分析是否已經存在攻擊者插入投注數據成功的情況。通過分析發現，該漏洞已被嚴重濫用。從十天前到現在為止，陸續有賬戶嘗試調用remedy()接口來插入投注數據，不過由于該操作已被關閉，導致插入數據失敗，可以看到插入金額都是幾萬ETH。插入失敗記錄：

成都鏈安：正在追查Ronin攻擊事件的資金去向:據成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，Axie Infinity側鏈Ronin遭到攻擊，17.36萬枚ETH和2550萬USDC被盜，總金額約合價值為6.15億美元。在這里，成都鏈安對此類跨鏈橋項目給出以下建議:

1.注意簽名服務器的安全性；

2.簽名服務在相關業務下線時，應及時更新策略，關閉對應的服務模塊，并且可以考慮棄用對應的簽名賬戶地址；

3.多簽驗證時，多簽服務之間應該邏輯隔離，獨立對簽名內容進行驗證，不能出現部分驗證者能夠直接請求其它驗證者進行簽名而不用經過驗證的情況；

4.項目方應實時監控項目資金異常情況。[2022/3/30 14:25:56]

通過完整追溯，我們總共發現503條插入成功的交易記錄，且插入日期都在項目方關閉接口之前。經統計，這503條交易全部由地址0xcb104fA25a1a46040DBaB9F554FF564CE325668b發起。

動態 | 成都鏈安推出Beosin-AML虛擬資產調查取證和反洗錢合規系統:為幫助虛擬資產服務商（VASP）監測交易風險、執行反洗錢合規程序，幫助監管部門監督VASP合規流程執行情況，幫助執法部門快速收集虛擬資產犯罪案件證據，為受害者提供技術協助，成都鏈安科技推出可視化的虛擬資產合規監測和調查取證分析系統Beosin-AML。系統上線技術援助服務，受害者被盜幣或不慎參與了跑路盤、資金盤等非法項目后，可在網站提交相關信息，平臺開展調查、分析和追蹤等取證服務。成都鏈安Beosin-AML虛擬資產調查取證和反洗錢合規系統，采集鏈上交易數據，分析加密貨幣犯罪和安全事件，結合機器學習模型綜合分析鏈上交易的合規和安全風險。幫助區塊鏈行業建立合法、合規的應用生態。[2019/12/10]

通過統計得出總共插入了5093個ETH，其中包括4711個凍結ETH，382個未凍結ETH。并且攻擊者通過插入投注記錄設置的500多個小號已經進行過提現操作。

通過進一步分析其合約部署情況發現，在項目方關閉actStu的前一天，也就是2019年7月27日，項目方剛剛部署FAIRWIN合約，在短短一天時間不到之內，項目合約之內便無中生有了5000多個ETH。7月29日，以太坊瀏覽器顯示合約進行了開源。

Tags：ETHFAIRAIRWINethereal寓意Fairly Advance Futurefair幣怎么樣ALLWIN價格

火必APP