加密貨幣交易所 加密貨幣交易所
Ctrl+D 加密貨幣交易所
ads

「炸橋案」頻發,V神指出跨鏈橋安全風險或將摧毀多鏈未來_IDG:PolkaBridge

Author:

Time:1900/1/1 0:00:00

隨著區塊鏈技術的發展及各類新增長的出現,加密貨幣生態系統隨之產生了更多的安全風險及復雜性。

2021年攻擊全景詳見,歡迎點擊文章底部“閱讀原文”獲取安全報告下載鏈接。

在2021年的基礎上,2022年的攻擊賽道又出現了一位“強力選手”。

跨鏈橋作為新的攻擊載體,安全性方面的發展尚未成熟。因此,跨鏈橋也是所有項目以及開發人員應該提高警惕的領域之一。

2022年的春節假期尚未結束時,跨鏈橋即發生了兩起重大攻擊,算上春節前的另一起同類事件,短短10天內的三起攻擊事件使得黑客在跨鏈橋方面取得了“傲人”成績。

在對這幾起事件進行了解之前,我們需要先知道什么是跨鏈橋以及它的原理。

慢霧創始人余弦:保持IOS系統更新習慣,另外建議盡量不要使用iMessage功能:金色財經報道,卡巴斯基首席執行官尤金·卡巴斯基在社交媒體上稱,我們發現了一種針對 iOS 的新網絡攻擊,稱為三角測量。攻擊從帶有惡意附件的 iMessage 開始,利用 iOS 中的多個漏洞安裝間諜軟件。無需用戶操作。

對此,慢霧創始人余弦轉發提醒稱,這黑客組織是下血本的,一條 iMessage 消息不需要什么用戶交互即可靜默地在你的 iOS 上植入木馬,遠程控制你的 iPhone,禁用升級、重啟恢復、偷錢包的能力肯定也是綽綽有余,但這個組織的意圖不是這個。不過還是別大意,系統保持更新習慣(雖然木馬會禁用更新,這個可能也可以作為判斷你 iPhone 是否正常的點),另外強烈建議,iMessage 這功能沒什么軟用就別用了…[2023/6/2 11:53:30]

用一個相對簡單的描述:bridge可將資產從一個區塊鏈轉移到另一個區塊鏈。

數據:過去一周Tether于波場上累計鑄造20億枚USDT:3月21日消息,數據顯示,過去一周內,Tether在波場鏈上累計鑄造20億枚USDT,在以太坊上同樣累計鑄造20億枚USDT。[2023/3/21 13:16:51]

在最近的三起事件中,攻擊者注入欺騙性數據,繞過驗證,將目標鏈上的相應代幣提取到指定地址。

QubitBridge漏洞事件

攻擊者偽造數據繞過bridge合約的數據真實性檢查,在沒有提供任何加密貨幣的情況下使bridge合約產生了攻擊者已存款的虛假時間證明。

其根本原因在于ETH和ERC-20的存款共享相同的事件證明。這允許攻擊者調用該函數利用不存在的ERC20存款事實生成虛假的ETH存款事件證明,并以此在另一條鏈上提取ETH。

FTT漲至1.75 USDT,24H漲幅逾50%:3月18日消息,行情顯示,FTT漲至1.7500 USDT,現報1.7297 USDT, 24H漲幅逾50%。

此前報道,據加密社區消息人士披露,杰富瑞(Jefferies)正在與潛在的FTX競購方接觸,希望重啟FTX。[2023/3/18 13:12:15]

在這種情況下合約中的漏洞被觸發——當代幣地址是EOA時,“safeTransferFrom”函數不會回退。因此,攻擊者在沒有向合約發送任何代幣的情況下獲取了證明。

事件詳細分析請戳:https://certik.medium.com/qubit-bridge-collapse-exploited-to-the-tune-of-80-million-a7ab9068e1a0

Polygon、華納音樂與LGND.io將合作推出Web3音樂平臺:12月7日消息,Polygon、華納音樂集團(Warner Music Group)與電子商務平臺LGND.io合作,將推出一項多年期Web3音樂項目,允許用戶隨時隨地播放數字黑膠唱片。

據悉,LGND Music平臺將支持來自任何區塊鏈的數字收藏品。此次合作還包括與荷蘭電子音樂唱片公司Spinnin' Records的合作。(The Block)[2022/12/7 21:26:53]

MeterBridge漏洞事件

該漏洞與Qubitbridge漏洞很相似——攻擊者避過bridge合約向bridge提供不存在的代幣證明從而跳過了驗證過程,從而可以在另一個鏈上提取代幣。

Bridge合約提供了兩個方法:deposit和depositETH。然而,這兩個方法產生了相同的存款事件證明,并且deposit函數并沒有阻止WETH/WBNB的存款交易,也沒有銷毀或鎖定WETH/WBNB。

黑客通過使用deposit,在沒有任何真實存款的情況下使bridge合約產生了虛假的WETH/WBNB存款事件證明。

該事件分析內容詳見CertiK公眾號。

Solana跨鏈橋蟲洞事件

Solana蟲洞的漏洞事件中,攻擊者通過向指令注入一個惡意的“sysvaraccount”來繞過“verifysignature”,并偽造了一個鑄造Wormhole-wrappedEther的消息。

這個漏洞的根本原因是在驗證簽名過程中,程序使用了一個在Solana更新至1.8.0時即被廢棄的“load_current_index”函數。該函數不會驗證輸入的“sysvaraccount”是否真的是“systemsysvar”,從而攻擊者可以趁機偽造這個關鍵帳戶。

此后,攻擊者利用此偽造的賬戶生成了虛假的鑄幣信息,然后根據得到的鑄幣在目標鏈上提取了相應真實代幣。

該事件分析內容詳見CertiK公眾號。

三起“炸橋案”總結

Qubit以及Meter.io的bridge代碼未能處理臨界情況,也就是說,合約的ERC20存款功能可以用來生成虛假的ETH/BNB存款事件證明,而后者成為了目標鏈上提取真實ETH/BNB的憑證。

Wormholebridge則是其合約未驗證調用者注入的“sysvaraccount”,從而產生了虛假的鑄幣信息。

總而言之,上述三起事件都是由于驗證過程的缺陷而造成的。

如何應對該類漏洞?

在上述攻擊中,我們可以吸取到一些關鍵教訓:

1.對于不同的功能,比如ERC20的存款和ETH/BNB的存款,合約應產生不同的事件證明。

2.始終記得驗證用戶注入的輸入。

3.密切關注近期漏洞事件,并檢查其他項目是否存在類似情況。

4.需要對每個bridge的核心合約進行相應審計。

除此之外,當該漏洞發生后,我們應該:

1.停止中繼消息層并暫停代幣傳輸,bridge合約也應暫停所有充提幣功能。

2.立即通知社區、交易所和平臺合作伙伴,監控資金流向。

3.建立與權威安全專家們的溝通渠道,進行有效的討論和信息共享。

4.識別、驗證和修復漏洞。及時測試以確保現有的漏洞得到解決以及未產生新的漏洞,同時對bridge合約進行升級。

5.評估損失,并與社區就被利用的資產數量、可追回的資產以及補償計劃進行坦誠地溝通

Tags:IDGBRIDGEBRIDGEFridge TokenPolkaBridgeBrisk PassHedgePay

pepe最新價格
全方位詳解AssangeDAO:JuiceBox迄今融資規模最大的DAO_DAO:ASS

原文來源:D-TigerResaerchInstitute創始人,因泄密美國政府丑聞而被通緝,曾在厄瓜多爾庇佑下躲避了7年,后輾轉被關押至英國,而在去年12月.

1900/1/1 0:00:00
AAX與Pyth Network合作提供實時加密數據_YTH:ORK

●AAX與專業的預言機解決方案PythNetwork達成合作●PythNetwork合作伙伴關系至關重要.

1900/1/1 0:00:00
Earn Daily No.359: Lock GT & Earn USDG, up to 6% APR

Gate.ioHODL&Earnrecentlyunveiledanewproduct“EarnEveryday”tofacilitateevenmorechancestoearnbyh.

1900/1/1 0:00:00
2022/2/16 元宵佳節天天紅包禮中獎名單_BTC:SDT

尊敬的WEEX用戶您好! 元宵佳節千金禮 活動四:天天紅包禮 活動方式: 活動期間每天抽出10位有完成合約交易的用戶隨機送8、18、38、68、88USDT,周一至周五不限幣種.

1900/1/1 0:00:00
XT關於關閉SHIELD - BNB_BEP20提幣的公告

尊敬的XT用戶: 由於錢包升級,XT.COM現已關閉SHIELD-BNB_BEP20的提幣通道。目前XT.COM僅支持SHIELD-ERC20的提幣通道.

1900/1/1 0:00:00
WEEX上線SHIB/USDT正向合約_SHI:SHIB

尊敬的WEEX用戶您好!WEEX已正式上線SHIB/USDT正向合約。其中合約采用美元穩定幣正向計價,提供5倍、10倍、20倍、50倍等多種不同杠桿類型,滿足不同投資者需求.

1900/1/1 0:00:00
ads