老調重彈，ERC1155的重入攻擊又“現身”，Revest Finance被攻擊事件簡析_NFT:imtoken被更改賬戶權限

2022年3月27日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，DeFi協議RevestFinance遭到黑客攻擊，損失約12萬美元。

據悉，RevestFinance是針對DeFi領域的staking的解決方案，用戶通過RevestFinance參與任何DeFi的staking，都可以直接創建生成一個NFT。

北京朝陽法院強制執行首次涉及數字人民幣賬戶:金色財經報道，據人民法院報消息，北京朝陽法院強制執行首次涉及數字人民幣賬戶。韓某因做生意先后四次向程女士借款，共計200萬元，卻因投資失利無法按期償還，程女士將韓某訴至北京市朝陽區人民法院，此案經調解結案。由于韓某無力還款，程女士向法院申請強制執行，案件受理后，法院依法向韓某發送執行通知書、財產報告令，依法查封韓某所有的上千件文玩工藝品。

執行法官張帆在和韓某溝通中了解到，韓某開立有數字人民幣賬戶，目前賬戶內還有余額。由于數字人民幣目前無法直接查詢、扣劃，故執行法官把雙方當事人約至法院，程女士當場開立數字人民幣賬戶，韓某將賬戶余額2000元轉賬到程女士數字人民幣賬戶。在案查封韓某的文玩工藝品也將通過司法拍賣陸續拍出，用于償還程女士。[2023/6/20 21:50:05]

在攻擊發生之后，項目方官方發推表示他們以太坊合約遭受了攻擊，目前已采取措施確保所有鏈中的剩余資金安全。

CFTC委員呼吁制定加密領域新規則:金色財經報道，美國商品期貨交易委員會（CFTC）委員Kristin Johnson在周四的一份聲明中表示，CFTC應該利用“現有權力進一步減輕所有客戶資產的潛在風險”，并引用了FTX破產引發的加密貨幣行業鬧劇。她將自己的聲明稱為反對數字資產欺詐的“行動呼吁”。Johnson表示，流動性危機以及加密貨幣交易所和其他著名加密貨幣中介機構缺乏負責任的治理已經擾亂了數字資產生態系統，一系列破產申請揭示了近期金融市場歷史上一些最令人震驚的公司治理和風險管理失敗的嚴峻寫照。[2022/12/2 21:17:11]

成都鏈安技術團隊對此事件進行了相關簡析。

Dreadfulz系列NFT24小時交易額為264.66萬美元:金色財經消息，據NFTGo.io數據顯示，Dreadfulz系列NFT總市值達243.17萬美元，在所有NFT項目總市值排名中位列第937；其24小時交易額為264.66萬美元，增幅達59.8%。截止發稿時，該系列NFT當前地板價為0.0229ETH。[2022/6/17 4:33:19]

該mintAddressLock函數用于查詢并向目標鑄造NFT，并且nextid會在鑄造NFT后進行更新。

攻擊者第一次調用mintAddressLock函數鑄造了2個ID為1027的Token為后續攻擊做準備，隨后再次調用mintAddressLock鑄造了3600個ID為1028的Token，在mint函數完成前攻擊者重入了depositAdditionalToFNFT函數，由于NFTnextId在mint函數鑄造NFT完成并通知后進行更新，此時的nextId仍然為1028，并且合約并未驗證1028的Token數量是否為0，因此攻擊者再次成功地鑄造了1個ID為1031的Token，完成了攻擊。

#2總結建議

此次攻擊中的鑄幣相關函數未嚴格按照檢查-生效-交互模式設計，且未考慮到ERC1155token轉賬重入的可能性。

建議在合約設計時嚴格按照檢查-生效-交互模式設計，并在ERC1155token相關DeFi項目中加入防重入的功能。

截止目前為止，攻擊者仍然未將資產進行轉移，成都鏈安將持續進行監控。

Tags：NFT數字人KENTOKHurricane NFT數字人民幣被風控了怎么辦imtoken被更改賬戶權限DP Token

BTC