成都鏈安：YFV勒索事件分析_STA:TIME

YFV是基于以太坊的一個DeFi項目，今天早些時候，YFV官方發文稱遭到勒索。攻擊者利用staking的合約漏洞，可以任意重置用戶鎖定的YFV。

并表示，此次事件可能和不久前的“pool0”事件相關，勒索者極有可能是在“pool0”事件中未取回資金的“憤怒的農民”。?

漏洞分析

成都鏈安：bDollar項目遭受價格操控攻擊，目前攻擊者獲利2381BNB存放于攻擊合約中:據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，bDollar項目遭受價格操控攻擊。攻擊者地址:0x9dadbd8c507c6acbf1c555ff270d8d6ea855178e

攻擊交易eth：0x9b16b1b3bf587db1257c06bebd810b4ae364aab42510d0d2eb560c2565bbe7b4

攻擊合約:0x6877f0d7815b0389396454c58b2118acd0abb79a

目前攻擊者獲利2381BNB，存放于攻擊合約中。[2022/5/21 3:32:53]

合約存在一個stakeOnBehalf函數使得攻擊者可以為任意用戶進行抵押，如下圖所示：

巧克力COCO智能合約已通過Beosin(成都鏈安）安全審計:據官方消息，Beosin（成都鏈安）近日已完成巧克力coco智能合約項目的安全審計服務。據介紹，巧克力COCO是基于波場底層打造的一個去中心化開放金融底層基礎設施。結合波場TICP跨鏈協議，訂單簿DEX，智能挖礦等等功能的創新和聚合，進而打造全面去中心化金融平臺。巧克力COCO無ICO、零預挖且零私募，社區高度自治。合約地址：THTpbtqfoGmL6HwqaGrWKd7aJAcUTbCnoC審計報告編號：202010042149[2020/10/5]

此函數中的lastStakeTimes=block.timestamp;語句會更新用戶地址映射的laseStakeTimes。而用戶取出抵押所用的函數中又存在驗證，要求用戶取出時間必須大于lastStakeTimes72小時。如下圖所示：

動態 | 成都鏈安：10月發生較典型安全事件共5起:據成都鏈安態勢感知平臺——Beosin?Eagle-Eye統計數據顯示，在過去一個月（10月）中，共發生5起較為典型的安全事件。其中包括：1.EOS鏈上本月內總共發生兩起攻擊事件：一是假EOS攻擊；二是游戲服務器解析參數問題。2.亞馬遜云服務平臺AWS被爆遭到了DDoS攻擊，并因此被迫中斷了服務。3.網頁加密貨幣錢包Safuwallet被黑客通過注入惡意代碼竊取了大量資金，并且殃及幣安。4.Cryptopia被盜資產開始轉移：一部分ETH流入知名DeFi借貸平臺Compound；另有數個ETH流入一個叫做DeFi 2.0的DApp項目。鑒于當前區塊鏈安全新形勢，Beosin成都鏈安在此提醒各鏈平臺需要增強安全意識，重視各類型安全風險，必要時可尋求安全公司合作，通過第三方技術支持，排查安全漏洞，加固安全防線；各錢包項目應進一步做好安全方面的審查，有意識地增強項目系統架構的安全性，并建立完善的應急處理機制。如發生資產損失，可借助安全公司的幫助，進行資產溯源追蹤；用戶在進行投資行為時需謹慎，遠離資金盤，切勿刀口舔血。[2019/10/31]

UnfrozenStakeTime如下圖所示：

綜上所述，惡意用戶可以向正常用戶抵押小額的資金，從而鎖定正常用戶的資金。

根據鏈上信息，我們找到了兩筆疑似攻擊的交易，如下所示：

0xf8e155b3cb70c91c70963daaaf5041dee40877b3ce80e0cbd3abfc267da03fc9

0x8ae5e5b4f5a026bc27685f2b8cbf94e9e2c572f4905fcff1e263df24252965db

其中一筆如下圖所示：

此兩筆交易都來自同一地址，且均為極小值。由此我們可以基本判定這是一個測試鎖死問題的交易。

總結

針對于本次事件，究其根本原因，還是沒有做好上線前的代碼審計工作。本次事件實際上是屬于業務層面上的漏洞。

根據成都鏈安在代碼審計方面的經驗，個別項目方在進行代碼審計時，未提供完整的項目相關資料，使得代碼審計無法發現一些業務漏洞，導致上線后損失慘重。

成都鏈安·安全實驗室在此提醒各項目方：安全是發展的基石，做好代碼審計是上線的前提條件。

Tags：STASTAKEOSTIMEbitstamp交易所中文名稱pstake幣前景EOS INFINITYLifeTime

fil幣價格今日行情