Superfluid_HQ被黑分析

安全實驗室?監測到以太坊上的DeFi協議superfluid遭遇黑客攻擊，損失超1300萬美元。實驗室第一時間跟蹤本次事件并分析。

攻擊涉及基礎信息

Superfluid：0xEBbe9a6688be25d058C9469Ee4807E5eF192897f

螞蟻集團已與馬來西亞私人投資銀行Kenanga Investment Bank Berhad達成合作，將共同開發“SuperApp”:8月24日消息，螞蟻集團已與馬來西亞私人投資銀行Kenanga Investment Bank Berhad達成合作，將幫助其推出加密友好型錢包和交易應用程序。雙方已簽署一份諒解備忘錄，共同開發財富應用程序SuperApp。根據協議條款，螞蟻集團數字技術部門將為Kenanga提供源自支付寶App的移動開發平臺mPaaS支持。

SuperApp旨在通過將股票交易、數字投資管理、加密貨幣交易、數字錢包、外匯兌換等多種金融服務整合到一個平臺中，徹底改變馬來西亞的財富管理方式。

此前報道，馬來西亞肯納格投資銀行將在2023年推出加密貨幣友好型App。（Cointelegraph）[2022/8/24 12:45:52]

攻擊交易hash：0x396b6ee91216cf6e7c89f0c6044dfc97e84647f5007a658ca899040471ab4d67

DAFI Protocol的Super Staking已在以太坊上線:據官方推特消息，鏈上激勵協議DAFI Protocol宣布Super Staking已在以太坊上線。用戶現可將ERC-20 DAFI存入Super Staking以獲得更好的獎勵。[2021/7/10 0:40:49]

黑客地址：0x1574F7F4C9d3aCa2EbcE918e5d19d18aE853c090

RTFKT Studios合作款運動鞋NFT將于3月12日在SuperRare獨家發售:3月11日消息，運動鞋設計公司RTFKT Studios發推稱，與游戲制造商Atari合作的NFT METAVERSE系列將在SuperRare獨家發售。美國東部時間3月11日13點（北京時間3月12日2點）開始將進行24小時拍賣，包括The Sandbox和Decentraland上的可穿戴NFT。[2021/3/11 18:35:14]

攻擊合約地址:0x32D47ba0aFfC9569298d4598f7Bf8348Ce8DA6D4

此次漏洞核心在于函數callAgreement,該函數主要作用在于提供一個名為"ctx"的數據結構，“ctx”被用于協議間的通信共享。而此次事件的攻擊者就是對”ctx“數據進行了偽造，達到欺騙合約的目的。

漏洞利用

為什么假數據會被采用以及攻擊者是如何構造假“ctx”數據的？

從交易中可以看到攻擊者是直接在callData結尾處傳入了假“ctx”，同時真“ctx”數據也被構建出來了的，只是程序在處理數據時會將callData數據與“ctx”打包成一個對象，當協議對該對象進行解碼時，ABI解碼器僅會處理位于前面的數據而忽略掉后面的數據。

而構建一個假“ctx”數據也并不復雜，由于“ctx”結構末尾為全零所以僅需要仿照“ctx”結構將其直接添加在userData中，以下是官方示例如何構建一個假“ctx”：

總結

本次攻擊事件在于協議數據處理時無條件信任來源數據，應當對用戶數據與官方構造數據進行標識區分。近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：CTXSUPUPESUPERCTX價格SUP幣UPE幣Doge Superbowl

TUSD