老調重彈，ERC1155的重入攻擊又“現身”，Revest Finance被攻擊事件簡析-ODAILY_NFT:keotoken

2022年3月27日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，DeFi協議RevestFinance遭到黑客攻擊，損失約12萬美元。

據悉，RevestFinance是針對DeFi領域的staking的解決方案，用戶通過RevestFinance參與任何DeFi的staking，都可以直接創建生成一個NFT。

在攻擊發生之后，項目方官方發推表示他們以太坊合約遭受了攻擊，目前已采取措施確保所有鏈中的剩余資金安全。

成都鏈安技術團隊對此事件進行了相關簡析。

#1分析如下

美股三大股指低開 標普500指數跌1.12%:1月25日消息，美股三大股指低開，納指跌1.62%，標普500指數跌1.12%，道指跌0.79%。[2023/1/25 11:29:50]

地址列表

Token合約：0x56de8BC61346321D4F2211e3aC3c0A7F00dB9b76被攻擊合約：0x2320a28f52334d62622cc2eafa15de55f9987ed9攻擊合約：0xb480Ac726528D1c195cD3bb32F19C92E8d928519攻擊者：0xef967ECE5322c0D7d26Dab41778ACb55CE5Bd58B

OKX：將啟動1億美元的項目生態扶持計劃:11月15日消息，官方消息顯示，OKX將聯合OKC公鏈啟動1億美元的項目生態扶持計劃。在近期突發事件的影響下，部分生態的優質項目出現了流動性等問題，為促進行業生態健康發展，OKX將集中支持優質項目方進行平滑遷徙，對符合條件的項目方提供生態、技術、流動性等支持。

據了解，OKC是市面上唯一兼容EVM與Cosmos雙生態的極高性能一層網絡，OKX Web3 Wallet可支持用戶的無縫轉移。[2022/11/15 13:07:44]

Yuga Labs：以NFT社區為目標的黑客或將對多個社區發起攻擊，請提高警惕:7月19日消息，Bored Ape Yacht Club (BAYC) 的創作團隊Yuga Labs今日在推特上警告稱：“我們的安全團隊一直在追蹤一個以NFT社區為目標的持續威脅組織。 我們相信，他們可能很快就會通過被竊取的社交媒體賬戶，對多個社區發起有組織的攻擊。請提高警惕，保證安全。 ”

此前消息，NFT訪問工具PREMINT遭釣魚攻擊，用戶損失超38萬美金。[2022/7/19 2:23:05]

交易截圖

首先攻擊者通過uniswapV2call2次調用受攻擊的目標合約中的mintAddressLock函數。

該mintAddressLock函數用于查詢并向目標鑄造NFT，并且nextid會在鑄造NFT后進行更新。

攻擊者第一次調用mintAddressLock函數鑄造了2個ID為1027的Token為后續攻擊做準備，隨后再次調用mintAddressLock鑄造了3600個ID為1028的Token，在mint函數完成前攻擊者重入了depositAdditionalToFNFT函數，由于NFTnextId在mint函數鑄造NFT完成并通知后進行更新，此時的nextId仍然為1028，并且合約并未驗證1028的Token數量是否為0，因此攻擊者再次成功地鑄造了1個ID為1031的Token，完成了攻擊。

#2總結建議

此次攻擊中的鑄幣相關函數未嚴格按照檢查-生效-交互模式設計，且未考慮到ERC1155token轉賬重入的可能性。

建議在合約設計時嚴格按照檢查-生效-交互模式設計，并在ERC1155token相關DeFi項目中加入防重入的功能。

截止目前為止，攻擊者仍然未將資產進行轉移，成都鏈安將持續進行監控。

Tags：NFTTOKENINTTOKsnft幣最新消息Shera tokenskucointopkeotoken

Pol幣