[BlockSec DeFi 攻擊分析系列之一] 我為自己代言：ChainSwap 攻擊事件分析_INS:NSWAP

去中心化金融(DeFi)作為區塊鏈生態當紅項目形態，其安全尤為重要。從去年至今，發生了幾十起安全事件。BlockSec作為長期關注DeFi安全的研究團隊(https://blocksecteam.com)，獨立發現了多起DeFi安全事件，研究成果發布在頂級安全會議中（包括USENIXSecurity,CCS和Blackhat)。在接下來的一段時間里，我們將系統性分析DeFi安全事件，剖析安全事件背后的根本原因。

今天帶來這個系列的第一篇，去中心化跨鏈資產橋梁項目ChainSwap攻擊事件。

0xffffffff.前言

北京時間2021年7月11日凌晨，去中心化跨鏈資產橋梁項目ChainSwap再次遭到攻擊，部署于該跨鏈橋上的20個項目遭到攻擊，損失超過800萬美元，是DeFi發展史迄今為止發生的最嚴重的攻擊事件。本文將抽絲剝繭分析攻擊的全部細節。

時間：Jul-10-202107:16:11PMUTC?#12801461

閱讀建議：

如果您剛剛接觸DeFi，可以從頭開始看起，但是文章較長，看不下去記得點個關注再走

如果您對Sushiswap、AMM、DEX等比較了解，可以直接從「0x1攻擊分析」開始

0x0.背景介紹

ChainSwap是一個跨鏈資產橋。所謂跨鏈資產橋，本質上就是為了解決在多個智能合約鏈的資產轉移問題。舉例來說，在幣安智能鏈鏈上的USDT代幣，想要轉換到以太坊主鏈上進行交易，則必須通過跨鏈資產橋進行轉換。ChainSwap、RenProtocol等是目前具有代表性的跨鏈資產橋項目，其上承載了數千萬美元的跨鏈交易，也使得這次攻擊造成的損失極為慘重。

DASH突破200美元關口 日內漲幅為12.54%:火幣全球站數據顯示，DASH短線上漲，突破200美元關口，現報200.25美元，日內漲幅達到12.54%，行情波動較大，請做好風險控制。[2021/5/25 22:40:39]

①跨鏈資產橋ChainSwap

隨著以太坊及基于以太坊的去中心化金融生態的不斷發展壯大，越來越多基于以太坊虛擬機的智能合約區塊鏈應運而生，這其中就包括了幣安智能鏈、火幣生態鏈及波場鏈。

在多種智能合約鏈共存的場景下，出于在不同鏈上進行代幣交換的需求，跨鏈資產橋項目逐漸進入人們的視野。傳統的跨鏈資產橋如Shapeshift、ChangeNOW等是中心化的服務，在去中心化的大背景下，去中心化的跨鏈資產橋項目不斷出現，而ChainSwap正是其中的代表服務之一。

設計一個跨鏈資產橋，最大的難點在于如何在不同鏈之間驗證交易。針對這個問題，ChainSwap采取了PoA機制。

整個ChainSwap網絡中存在一組驗證者節點，這些節點的工作是驗證一條鏈上的交易并在另一條鏈上提供證明。舉例來說，假設用戶A希望將以太坊鏈上的1000USDT轉移到BSC鏈上，這一步轉移操作實現如下：

首先在以太坊鏈上，服務調用鏈上合約的send方法，把用戶的1000USDT發送給以太坊上的ChainSwap合約，生成一個發送交易。

隨后，ChainSwap會將這筆交易的信息發送給一組驗證者，這些驗證者會將這筆交易驗證并返回一組簽名。

BTC跌破32500美元關口 日內跌幅為24.38%:火幣全球站數據顯示，BTC短線下跌，跌破32500美元關口，現報32497.48美元，日內跌幅達到24.38%，行情波動較大，請做好風險控制。[2021/5/19 22:21:31]

最后在BSC鏈上，服務調用鏈上合約的receive方法，在BSC鏈上收到1000USDT發回給用戶。這個調用會發送以太坊上交易的簽名以驗證在以太坊鏈上的交易。

②ChainSwap的實現機制概述

從本質上來說，ChainSwap是不同鏈上交易的撮合方。拿以上的轉移操作為例，第二步需要有一個獨立的驗證者對以太坊鏈上用戶的轉賬操作進行證明。那么怎樣實現高效安全的簽名機制呢？

讓我們回歸以太坊的基本知識。以太坊用戶生成地址的過程如下：首先生成一個巨大的隨機數作為私鑰，該私鑰經過一定的單項算法可以得到公鑰，再通過某個單向哈希算法生成地址。所以本質上來說，地址的背后對應私鑰。

私鑰不僅可以用來解密，還可以用來簽名。具體來說，任何人可以將某個消息序列化，并用私鑰生成對應的簽名。簽名包括四個部分：消息的摘要和三個參數。

簽名之后，怎樣驗證簽名的有效性呢？智能合約的Solidity編程語言提供了?ecrecover?函數，可以通過以上四個參數計算得到簽名這個消息的地址。合約的實現方必須自行驗證這個地址是否有效。后文我們將看到，正是由于沒有驗證地址的有效性，導致了ChainSwap的這次攻擊。③ChainSwap的實現機制概述在分析代碼和攻擊之前，首先概述一下ChainSwap的實現機制：

MDX24小時漲幅46.85%，累計漲幅571.02%:據非小號平臺數據顯示，MDX持續上漲，最高突破3.45美元關口，現報3.30美元，日內漲幅達46.85%，累計漲幅571.02%。[2021/1/25 13:22:42]

ChainSwap作為一個跨鏈資產橋，其設置了一個Factory用于管理和查詢下屬的項目，即找到跨鏈幣種在以太坊主鏈上的地址。

每個項目可以向ChainSwap申請對接，自動成為跨鏈代幣。ChainSwap會為這些代幣創建一個映射Token用于代表該Token在鏈上的“映射”。

上文說到，為了跨鏈地證明交易，ChainSwap設置了幾個驗證者來進行交易驗證。ChainSwap代碼中將驗證者命名為簽名者，且為每一個驗證者限定了配額，也就是說每個驗證者驗證的交易額在一段時間內是有限制的。但驗證者會有一定的初始配額，且該配額會隨著時間累積。

0x1.代碼分析

ChainSwap會為該項目承接的每一個代幣創建一個TokenMapped合約來代表該代幣在鏈上的映射。攻擊者的入口即為TokenMapped合約的receive方法。下面我們逐步分析相關代碼，看看攻擊是如何實現的。

①攻擊入口分析

上圖展示了receive函數的全部代碼。正常情況下，用戶在其他鏈上向ChainSwap發送某種Token之后，交易經過簽名者驗證，用戶可以將驗證信息發給以太坊主鏈上的ChainSwap合約，后者會在驗證之后將Token轉賬給給用戶。receive實現的正是這樣一個流程。

ZEC突破70美元關口 日內漲幅為7.87%:火幣全球站數據顯示，ZEC短線上漲，突破70美元關口，現報70.07美元，日內漲幅達到7.87%，行情波動較大，請做好風險控制。[2020/10/11]

該函數的實現較為復雜，在開頭首先收取0.05ETH的費用。接下來，合約向ChainSwapFactory請求參數，獲得最小簽名個數，對傳入簽名個數進行驗證。從交易記錄中可以查到這個值為1，也就是說跨鏈交易只需要一個簽名者的簽名即可通過。在后文中會對這個參數的修改過程進行描述。

然后對每一個簽名，首先常規驗證傳入的簽名數組是否有重復。其次，通過ecrecover驗證簽名的有效性。這一步是常規的的簽名驗證過程，由于和攻擊本身無關，不再贅述。最后，通過_decreaseAuthQuota減少驗證者的配額。看到這里，整個實現邏輯似乎是完整且清晰的。

但是通過以上分析過程我們發現，入口函數receive并沒有對簽名者的身份進行驗證，Signatory參數的存在僅僅用于配合ecrecover函數驗證消息是否確實是由Signatory進行簽名。也就是說，任何人都可以生成一個簽名。也許在receive函數調用的內部函數中對Signatory進行了驗證？我們繼續往下看。

上圖展示了第一個內部函數_decreaseAuthQuota的實現，該函數的主要功能為減少記錄在_authQuotas映射中對應Signatory的配額值。實現本身非常簡單，但是紅線部分展示的modifier部分引起了我們的注意。_decreaseAuthQuota?并沒有對Signatory的合法性進行檢查，那么這個modifier是否有驗證呢？

上海黃金交易所黃金T+D盤初漲幅1.09%:上海黃金交易所黃金T+D 4月10日（周五）早盤盤初漲幅1.09%報373.69元/克；

上海黃金交易所白銀T+D 4月10日（周五）早盤盤初漲幅1.76%報3753.00元/千克。（金十）[2020/4/10]

上圖展示了updateAutoQuota(signatory)的實現。modifier是Solidity語言的一種語法糖，以上圖展示的modifier為例，這個modifier修飾的函數會將自己添加在函數中，最后一行的短劃線表示modifier標注的函數的真正函數體將會出現的位置。可見該modifier的實現方式是先調用authQuotaOf函數更新Signatory的配額，并根據條件進行更新。注意到這里在調用authQuotaOf之后也沒有做Signatory的合法性進行驗證。

最后來看authQuotaOf的實現。首先直接獲取_authQuotas映射中Signatory的配額。不同于Python等主流編程語言，Solidity是沒有類似Python中KeyError的概念的，如果映射中不存在這個鍵，則會返回0，然而這里沒有對返回值進行檢查。接下來，通過autoQuotaRatio和autoQuotaPeriod兩個參數計算新的最大配額quotaCap。通過搜索以太坊交易記錄，這兩個參數的值分別為1e15和86400。

因此倒數第三行計算得出的quotaCap是一個很大的值。因此quotaCap的理論最大值為代幣供應量的0.1%。

倒數第二行，由于lasttimeUpdateQuotaOf中找不到這個Signatory，因此返回0，因此在Signatory非法時delta可以比quotaCap更大。最后一行通過計算返回更新后的配額，通過以上的分析不難看出，在攻擊中返回的正是quotaCap。

總結一下，receive函數實現的整個過程，都沒有對傳入的Signatory的合法性進行檢查。因此攻擊者只需要隨機生成一個地址并生成對應的簽名，即可騙過ChainSwap，自己為自己提供簽名。同時，由于authQuotaOf在實現邏輯上的錯誤，在Signatory不合法時會返回一個非常大的值，導致了這次攻擊事件的發生。而本次攻擊事件發生的本質，是沒有對映射索引的值進行驗證。由于Solidity并不會在映射的鍵不存在時觸發任何錯誤，因此這類檢查就顯得非常重要。正是由于缺少這樣的檢查，導致了這次損失超過800萬美元的攻擊。

③番外篇1：參數minSignatures的修改

通過以上的分析不難看出，攻擊發生的主要原因是缺少對映射索引返回值的檢查。但參數參數minSignatures的值同樣引起了我們的注意。我們發現在交易?0x50d462f4?中，參數minSignatures的值被修改成1：

這個交易出現在區塊12377182，這是攻擊發生的65天前。這種針對協議底層參數的修改只能由官方進行，通過閱讀代碼也驗證了這一點：

Factory合約繼承了Configurable合約以提供參數配置功能。圖中函數聲明中的governancemodifier代表該函數僅能通過管理者進行修改。我們并不知道為什么ChainSwap官方修改了這個參數，但這個修改一方面增加了系統的不可靠性，另一方面為攻擊者提供了便利，因為攻擊者只需構造一個簽名便可騙過ChainSwap系統，直接提取代幣。

④番外篇2：虛假的驗證

有趣的是，在管理者Factory的合約實現中，ChainSwap設計了一個變量來保存Signatory構成的數組，代碼如下圖所示：

但很遺憾的是，通過對Factory合約實現的審計，我們發現這個變量僅僅是在管理Signatory配額的時候被使用，并沒有驗證一個任意地址是否包含在這個數組中的代碼實現，因此任何一個人都可以創造一個地址并為自己生成簽名。

0x2.攻擊分析

經過以上的代碼分析，不難得出一個最簡單的攻擊流程：只需要自己批量創建多個地址，生成并提交簽名即可。由于TokenMapped并不會進行任何驗證，可以將合約中鎖倉的代幣直接獲得，實現空手套白狼。攻擊者的真實攻擊就是這樣實現的。以其中一筆攻擊交易為例，交易執行Trace如下：

可以看出，攻擊只是簡單地調用了以上展示的有bug的receive函數，傳入了虛假的簽名，就套到了攻擊者本不應獲得的代幣。通過這樣的攻擊方式，攻擊者攻擊了基于ChainSwap的20個項目，盜走了價值800萬美元以上的代幣，造成了極為嚴重的損失。

BlockSec團隊以核心安全技術驅動，長期關注DeFi安全、數字貨幣反洗錢和基于隱私計算的數字資產存管，為DApp項目方提供合約安全和數字資產安全服務。團隊發表20多篇頂級安全學術論文(CCS,USENIXSecurity,S&P)，合伙人獲得AMiner全球最具影響力的安全和隱私學者稱號(2011-2020排名全球第六).研究成果獲得中央電視臺、新華社和海外媒體的報道。獨立發現數十個DeFi安全漏洞和威脅，獲得2019年美國美國國立衛生研究院隱私計算比賽(SGX賽道)全球第一名。團隊以技術驅動，秉持開放共贏理念，與社區伙伴攜手共建安全DeFi生態。掃描二維碼，關注更多精彩

https://www.blocksecteam.com/

Tags：INSSWAPCHANSWAPInsight ProtocolKokoSwapIONChainMeganSwap

以太坊最新價格