加密貨幣交易所 加密貨幣交易所
Ctrl+D 加密貨幣交易所
ads
首頁 > XLM > Info

多個項目因Vyper重入鎖漏洞造成的損失已超5900w美元 你的資金還安全嗎?_ETH:BIT

Author:

Time:1900/1/1 0:00:00

2023年7月30日晚,多個項目迎來至暗時刻。

7 月 30 日 21:35左右,據Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示,NFT 借貸協議JPEG'd項目遭遇攻擊。

在Beosin安全團隊正在分析之時,又有幾個項目接連受損。

7 月 30 日 22:51左右,msETH-ETH池子被黑客突襲。

7 月 30 日 23:35左右,alETH-ETH 池子被同樣的攻擊方式破解。

緊接著,DeFi項目Alchemix、Metronome 項目歸屬的流動性池子相繼遭遇攻擊。

同一個攻擊方式,被黑客多次利用,到底是哪里出了問題?

根據7 月 31 日凌晨以太坊編程語言 Vyper 發推表示,Vyper 0.2.15、0.2.16 和 0.3.0 版本有重入鎖有漏洞,加上原生的ETH可以在轉賬時調callback,導致這幾個和ETH組的lp池子可以被重入攻擊。

趙長鵬:幣安團隊來自100多個國家,但仍然缺少大量人才:12月6日消息,幣安首席執行官趙長鵬發推文稱:“幣安團隊來自100多個國家,但仍然缺少大量(人才)。”[2022/12/6 21:25:40]

接著Curve官方推特發文表示,由于重入鎖出現故障,許多使用 Vyper 0.2.15 的穩定幣池 (alETH/msETH/pETH) 遭到攻擊,但其他池子是安全的。

以下為本次黑客攻擊事件涉及的相關交易

●攻擊交易

0xc93eb238ff42632525e990119d3edc7775299a70b56e54d83ec4f53736400964 0xb676d789bb8b66a08105c844a49c2bcffb400e5c1cfabd4bc30cca4bff3c9801

行情|BitMax交易平臺多個幣種24小時漲幅超10%:據BitMax(BTMX.COM)官網顯示,截止今日10:30其平臺上多個幣種24小時漲幅超15%:CHX(24.6%)、CHR(19.98%)、LTO(18.03%)、MATIC(15.73%)。更多詳情查看原文查看。[2019/12/21]

0xa84aa065ce61dbb1eb50ab6ae67fc31a9da50dd2c74eefd561661bfce2f1620c

0x2e7dc8b2fb7e25fd00ed9565dcc0ad4546363171d5e00f196d48103983ae477c

0xcd99fadd7e28a42a063e07d9d86f67c88e10a7afe5921bd28cd1124924ae2052

●攻擊者地址

0xC0ffeEBABE5D496B2DDE509f9fa189C25cF29671

0xdce5d6b41c32f578f875efffc0d422c57a75d7d8

行情 | BitMax交易平臺多個幣種24小時漲幅超10%:據BitMax官網顯示,截止今日18:00其平臺上多個幣種24小時漲幅超10%:RUNE(28.89%)、MATIC(19.08%)、IOST(13.12%)、ONE(12.34%)、LTO(12.29%)。

其中BitMax支持ONE 5倍杠桿、MATIC 3倍杠桿和IOST 2倍杠桿交易。更多詳情請您登錄BitMax平臺官網BTMX.COM查看。[2019/12/20]

0x6Ec21d1868743a44318c3C259a6d4953F9978538

0xb752DeF3a1fDEd45d6c4b9F4A8F18E645b41b324

●被攻擊合約

0xc897b98272AA23714464Ea2A0Bd5180f1B8C0025

0xC4C319E2D4d66CcA4464C0c2B32c9Bd23ebe784e

0x9848482da3Ee3076165ce6497eDA906E66bB85C5

行情 | BitMax交易平臺多個幣種24小時漲幅超9%:據BitMax(BTMX.COM)官網顯示,截止今日10:00其平臺上多個幣種24小時漲幅超9%:CHZ(12.18%)、RUNE(11.9%)、FET(9.74%)。此外,BitMax支持FET 3倍杠桿交易。更多詳情請您登錄BitMax平臺官網BTMX.COM查看。[2019/12/16]

0x8301AE4fc9c624d1D396cbDAa1ed877821D7C511

根據Beosin安全團隊的分析,本次攻擊主要是源于是Vyper 0.2.15的防重入鎖失效,攻擊者在調用相關流動性池子的remove_liquidity函數移除流動性時通過重入add_liquidity函數添加流動性,由于余額更新在重入進add_liquidity函數之前,導致價格計算出現錯誤。

黑客攻擊準備階段,首先通過balancer:Vault閃電貸借出10,000枚ETH作為攻擊資金。

公告 | 幣安將上線多個GTO交易市場:據官網公告,幣安將于2019年7月1日19:00上線 GTO/USDT、GTO/PAX、GTO/TUSD、GTO/USDC 交易市場。[2019/7/1]

1. 第一步,攻擊者調用add_liquidity函數將閃電貸借入的5000ETH添加進池子中。

2.第二步,隨后攻擊者調用remove_liquidity函數移除池子中的ETH流動性時再次重入進add_liquidity函數添加流動性。

3. 第三步,由于余額更新在重入進add_liquidity函數之前,導致價格計算出現錯誤。值得注意的是remove_liquidity函數和add_liquidity函數已經使用了防重入鎖防止重入。

4.因此這里防重入存在并未生效,通過閱讀如下圖所示的左邊存在漏洞的Vyper代碼可以發現當重入鎖的名稱第二次出現的時候,storage_slot原有數量會加1。換而言之,第一次獲取鎖的slot為0,但是再次有函數使用鎖后slot變為1,重入鎖此時已經失效。

https://github.com/vyperlang/vyper/commit/eae0eaf86eb462746e4867352126f6c1dd43302f

截止發文時,本次攻擊事件損失的資金已超5900W美元,Beosin KYT監測到目前c0ffeebabe.eth地址已歸還2879個ETH,被盜資金仍在多個攻擊者地址上。

關于本次事件造成的影響,7月31日消息,幣安創始人趙長鵬CZ發推稱,CEX喂價拯救了DeFi。幣安用戶不受影響。幣安團隊已檢查Vyper可重入漏洞。幣安只使用0.3.7或以上版本。保持最新的代碼庫、應用程序和操作系統非常重要。

7月31日消息,Curve 發推稱,由于版本 0.2.15-0.3.0 中的 Vyper 編譯器存在問題,CRV/ETH、alETH/ETH、msETH/ETH、pETH/ETH 被黑客攻擊。此外,Arbitrum Tricrypto 池也可能會受影響,審計人員和 Vyper 開發人員暫未找到可攻擊漏洞,但請退出使用。

可以看到本次事件造成的影響依然沒有結束,這些池子有資金的用戶還需要多加注意。

針對本次事件,Beosin安全團隊建議:當前使用Vyper 0.2.15、0.2.16和0.3.0版本的重入鎖均存在失效的問題,建議相關項目方進行自查。項目上線后,強烈建議項目方仍然關注第三方組件/依賴庫的漏洞披露信息,及時規避安全風險。

Beosin

企業專欄

閱讀更多

Foresight News

金色財經 Jason.

白話區塊鏈

金色早8點

LD Capital

-R3PO

MarsBit

深潮TechFlow

Tags:ETHBITITMMAXETHLOVOLBitcoinZbitmart數字平臺KAMAX幣

XLM
Coinbase CEO:SEC曾要求下架除比特幣的所有資產_COI:BASE

作者:JESSE COGHLAN,COINTELEGRAPH;編譯:松雪,金色財經加密貨幣交易所 Coinbase 首席執行官布萊恩·阿姆斯特朗 (Brian Armstrong) 表示.

1900/1/1 0:00:00
幣圈打工人 刑事避雷指南_區塊鏈:哪個不是區塊鏈特性

作者:高孟陽,上海曼昆律師事務所資深律師近日,某區塊鏈公司產品同學來咨詢,說是突遭天降大任被安排了一個即發 Token 項目上,老板在項目啟動會上激情澎湃.

1900/1/1 0:00:00
Base鏈上暴漲MEME幣BALD的可疑內幕和部署_BAS:COIN

作者:Axel Bitblaze,加密投資人;翻譯:金色財經xiaozou本文我們來一起深入了解一下時下火熱的新興meme幣BALD,其在Coinbase Base鏈上勢頭正猛.

1900/1/1 0:00:00
2023年中開發者報告:開發者數量較去年下降22% 新人開發者近半數離場_比特幣:UAPE

作者:Electric Capital;編譯:Felix, PANews截至2023年6月1日,每月有2.13萬名活躍的開源開發者。自2022年6月1日以來,開發者的數量同比下降了22%.

1900/1/1 0:00:00
加密領域2023年開發者活躍度及貢獻報告_比特幣:hotcoinglobal

執行摘要: 截至 2023 年 6 月 1 日,每月活躍開源開發者有 2.13 萬名。開發者同比減少了-22%(自2022年6月1日起).

1900/1/1 0:00:00
Mint Ventures:熊市抄底 不要選擇Meme_NBS:meme幣是什么意思

作者: Alex Xu , Mint Ventures  研究合伙人本期 Clips 來自于筆者與其他投資者在一個加密社群關.

1900/1/1 0:00:00
ads