北京時間2022年3月13日上午9:04,CertiK安全技術團隊監測到Paraluni'sMasterChef合約遭到攻擊,大約170萬美元的資金通過多筆交易從該項目中被盜。
下文CertiK安全團隊將從該項目的操作及合約等方面為大家詳細解讀并分析。
漏洞交易
攻擊者地址:https://bscscan.com/address/0x94bc1d555e63eea23fe7fdbf937ef3f9ac5fcf8f
交易實例:https://bscscan.com/tx/0x70f367b9420ac2654a5223cc311c7f9c361736a39fd4e7dff9ed1b85bab7ad54
Solana生態房地產衍生品協議Parcl正式上線:金色財經報道,Solana生態房地產衍生品協議Parcl Protocol今日宣布已正式上線。Parcl是一家通過Solana區塊鏈將房地產投資數字化的初創公司,通過合成資產Parcls提供投資敞口,使每個人都有機會參與房地產市場,而無需承擔與擁有或交易硬資產相關的負擔。
去年5月,Parcl完成750萬美元戰略融資,Archetype、Dragonfly、NotBoring、SolanaVentures等參投。[2023/1/10 11:03:42]
合約地址
Masterchef合約:https://bscscan.com/address/0xa386f30853a7eb7e6a25ec8389337a5c6973421d#code
Genesis Shards融資270萬美元,LD Capital、Spark Digital Capital等參投:3月24日消息,基于Polkadot的去中心化生態系統Genesis Shards宣布融資270萬美元,投資方包括3Commas、OKEx旗下Block Dream Fund、LD Capital、Spark Digital Capital、Momentum 6、Solidity Ventures、BlackEdge、Morningstar、BitBloc、Blocksync、Chain Capital、X21、Astronaut Capital、Moonrock Capital、Moonwhale Ventures、PNYX Ventures、AU21 Capital、Master Ventures、PetRock Capital等。(Ambcrypto)[2021/3/24 19:14:24]
攻擊流程
動態 | CryptoCompare報告:美元在法幣交易中占到主導地位:據Bitcoinist消息,根據CryptoCompare最近發布的一項名為《Detailed Report Into The Cryptocurrency Exchange Industry》報告顯示,在過去的一個月中,平均來看,美元占到了法幣交易中的一半,而日元占到21%,韓元占到了16%。[2018/11/8]
注意,這個攻擊流程是以下面這個交易為基礎的:https://bscscan.com/tx/0x70f367b9420ac2654a5223cc311c7f9c361736a39fd4e7dff9ed1b85bab7ad54
準備階段:
攻擊者部署了兩個惡意的代幣合約UGT和UBT。
在UBT代幣合約中,有兩個惡意的函數實現:
Particl 錢包增加新功能 可以篩選交易歷史:Particl (PART)錢包新增交易歷史篩選功能。[2017/12/12]
1.在"transferFrom()"函數中,攻擊者實現了對MasterChef的"deposit()"函數的調用,以存入LP代幣。
2.一個"withdrawAsset()"函數,將調用Masterchef的"withdraw()"來提取存入的LP代幣。
攻擊階段:
攻擊者利用閃電貸獲得了156,984BSC-USD和157,210BUSD。
攻擊者向ParaPair發送通過閃電貸獲得的BSC-USD和BUSD代幣,并收到155,935枚LP代幣作為回報。
然后,攻擊者調用"depositByAddLiquidity()"函數,將LP代幣存入資金池。
1.在調用此函數時:輸入參數“_pid”為18,“_tokens”為。
2.因為depositByAddLiquidity()會調用“UBT.transferFrom()”函數,因此MasterChef.deposit()函數會被觸發并且向合約存入155,935LP代幣。
3.因此,155,935LP代幣被存入了兩次并且攻擊者獲得了兩份“userInfo”的記錄(一次是從UBT,另一次是從攻擊者的合約)。
最后,攻擊者提取了兩次:
1.第一次是通過函數“UBT.withdrawAsset()”。
2.另一個是來自攻擊者對“Masterchef.withdraw()”函數的調用。最后,攻擊者刪除了流動資金并返還了閃電貸。
合約漏洞分析
在函數`MasterChef.depositByAddLiquidity()`中,作為參數傳入的`_tokens`可以與池中的編號為`_pid`的tokens不匹配。
`depositByAddLiquidity()`函數通過調用`addLiquidityInternal()`函數,觸發了傳入惡意代幣的“transferFrom”函數,進而導致了重入的問題。因此,同一份LP代幣被存入兩次。
資產去向
截至3月13日,總共有價值約170萬美元的資產被盜。3000個BNB仍然在攻擊者在BSC的地址中,235個ETHs則通過Birdge轉移到以太坊,并通過Tornado進行洗白。
寫在最后
該次事件可通過安全審計發現相關風險:審計可以發現重入問題和外部依賴問題。
同時,CertiK的安全專家建議:
時刻關注函數的外部輸入,盡量避免傳入合約地址作為參數。
關注外部調用,為所有可能出現重入危險的外部調用函數加上“nonReentrant”修飾函數。
本次事件的預警已于第一時間在CertiK項目預警推特進行了播報。
除此之外,CertiK官網https://www.certik.com/已添加社群預警功能。在官網上,大家可以隨時看到與漏洞、黑客襲擊以及RugPull相關的各種社群預警信息。
一、前言 北京時間2022年3月21日,知道創宇區塊鏈安全實驗室監測到BSC鏈和以太坊上的UmbNetwork獎勵池遭到黑客攻擊,損失約70萬美元。實驗室第一時間對本次事件進行跟蹤并分析.
1900/1/1 0:00:00缺口是指資產價格在快速變動過程中,由于一段價格區間內沒有產生任何交易而產生的一種價格跳空現象,顯示在K線圖上,就是一個真空區域,這片真空區域就被稱為“缺口”,或者“跳空”.
1900/1/1 0:00:00Polkadot生態研究院出品,必屬精品 背景 2021年11月11日,波卡迎來了上線后的重要里程碑,波卡網絡平行鏈插槽Auction正式啟動,在經歷了一個多月的激烈角逐后.
1900/1/1 0:00:00簡介 當一個惡意的加密貨幣開發人員或領導者放棄一個項目,并帶走該項目產生的所有資金時,就會發生所謂拉地毯騙局事件.
1900/1/1 0:00:00高盛將Web3描述為「下一波計算機行業的潮流」,強調「在Web3框架下,現有巨頭的護城河也將受到威脅」;中國證監會科技監管局局長姚前贊譽「Web3是用戶與建設者共建共享的新型經濟系統.
1900/1/1 0:00:00DataSource:FootprintAnalytics2021年12月,BoredApeYachtClub(BAYC,即無聊猿)的NFT最低價格首次超過NFT界元老.
1900/1/1 0:00:00