加密貨幣交易所 加密貨幣交易所
Ctrl+D 加密貨幣交易所
ads

首發:十天內三起“炸橋案” V神指出跨鏈橋安全風險或將摧毀多鏈未來_IDG:Equilibrium Games

Author:

Time:1900/1/1 0:00:00

隨著區塊鏈技術的發展及各類新增長的出現,加密貨幣生態系統隨之產生了更多的安全風險及復雜性。

在2021年的基礎上,2022年的攻擊賽道又出現了一位“強力選手”。

跨鏈橋作為新的攻擊載體,安全性方面的發展尚未成熟。因此,跨鏈橋也是所有項目以及開發人員應該提高警惕的領域之一。

2022年的春節假期尚未結束時,跨鏈橋即發生了兩起重大攻擊,算上春節前的另一起同類事件,短短10天內的三起攻擊事件使得黑客在跨鏈橋方面取得了“傲人”成績。

在對這幾起事件進行了解之前,我們需要先知道什么是跨鏈橋以及它的原理。

用一個相對簡單的描述:bridge可將資產從一個區塊鏈轉移到另一個區塊鏈。

百度地圖首發地圖場景數字藏品:金色財經報道,6月25日,百度地圖攜手長城文旅、長城文創、百度超級鏈正式推出獨家長城書畫數字藏品,此次是首次在地圖場景下發行文旅行業數字藏品,共有嘉峪關、居庸關、山海關、雁門關、潼關、函谷關6款,每幅藏品限量2999份,均具有唯一標識,并被百度超級鏈記錄,在鏈上具有唯一可查性,用戶可在百度地圖App中直接購買。[2022/6/25 1:31:18]

跨鏈交易

跨鏈交易的步驟如下:

1.用戶將代幣“存入”一條鏈上的“bridge合約”,并生成一個證明,指定所需的跨鏈信息。

2.bridge合約驗證該證明,隨后在目標鏈上用戶可以從bridge合約中"提取"代幣。

在最近的三起事件中,攻擊者注入欺騙性數據,繞過驗證,將目標鏈上的相應代幣提取到指定地址。

上海天文館首發數字藏品:金色財經報道,據上海天文館官方公眾號,在開館一周年即將到來之際,上海天文館(上海科技館分館)宣布首次推出并于6月9日正式發售兩件數字藏品“璀璨橄欖隕鐵·伊米拉克隕石”和“世界上最早的天文鐘縮比模型·水運儀象臺”,每件限量10000份。此次數字藏品由上海科技館官方授權并監制。[2022/6/9 4:13:43]

Bridges上的常見攻擊媒介

QubitBridge漏洞事件

攻擊者偽造數據繞過bridge合約的數據真實性檢查,在沒有提供任何加密貨幣的情況下使bridge合約產生了攻擊者已存款的虛假時間證明。

其根本原因在于ETH和ERC-20的存款共享相同的事件證明。這允許攻擊者調用該函數利用不存在的ERC20存款事實生成虛假的ETH存款事件證明,并以此在另一條鏈上提取ETH。

《絕地求生》開發商旗下RisingWings為全球電子競技服務COMPETZ首發PFP NFT:5月9日消息,《絕地求生》開發商 KRAFTON 旗下獨立工作室 RisingWings 宣布將為基于區塊鏈的全球電子競技服務 COMPETZ 發行首個 PFP NFT,這些 NFT 能用作 COMPETZ 的個人資料圖像,首次鑄造將發行 1000 枚,按照稀有度將分為傳奇、史詩、稀有、稀有和普通五個不同等級,PFP 越稀有,用戶獎勵越高。如果用戶擁有兩個或更多 PFP,獎勵則將疊加。NFT 鑄造將于 5 月 10 日通過 BORA PORTAL 進行。(Businesswire)[2022/5/9 2:59:57]

在這種情況下合約中的漏洞被觸發——當代幣地址是EOA時,“safeTransferFrom”函數不會回退。因此,攻擊者在沒有向合約發送任何代幣的情況下獲取了證明。

BitMax首發DeFi幣 EASY日內漲幅達7%:據BitMax官網顯示,截止今日18:30 BitMax首發DeFi幣日內漲幅達8.74%,現報價7.18USDT。

更多詳情見BitMax平臺官網查看。[2020/11/3 11:33:23]

Meter?Bridge漏洞事件

該漏洞與Qubitbridge漏洞很相似——攻擊者避過bridge合約向bridge提供不存在的代幣證明從而跳過了驗證過程,從而可以在另一個鏈上提取代幣。

Bridge合約提供了兩個方法:deposit和depositETH。然而,這兩個方法產生了相同的存款事件證明,并且deposit函數并沒有阻止WETH/WBNB的存款交易,也沒有銷毀或鎖定WETH/WBNB。

黑客通過使用deposit,在沒有任何真實存款的情況下使bridge合約產生了虛假的WETH/WBNB存款事件證明。

Solana跨鏈橋蟲洞事件

Solana蟲洞的漏洞事件中,攻擊者通過向指令注入一個惡意的“sysvaraccount”來繞過“verifysignature”,并偽造了一個鑄造Wormhole-wrappedEther的消息。

這個漏洞的根本原因是在驗證簽名過程中,程序使用了一個在Solana更新至1.8.0時即被廢棄的“load_current_index”函數。該函數不會驗證輸入的“sysvaraccount”是否真的是“systemsysvar”,從而攻擊者可以趁機偽造這個關鍵帳戶。

此后,攻擊者利用此偽造的賬戶生成了虛假的鑄幣信息,然后根據得到的鑄幣在目標鏈上提取了相應真實代幣。

三起“炸橋案”總結

Qubit以及Meter.io的bridge代碼未能處理臨界情況,也就是說,合約的ERC20存款功能可以用來生成虛假的ETH/BNB存款事件證明,而后者成為了目標鏈上提取真實ETH/BNB的憑證。

Wormholebridge則是其合約未驗證調用者注入的“sysvaraccount”,從而產生了虛假的鑄幣信息。

總而言之,上述三起事件都是由于驗證過程的缺陷而造成的。

如何應對該類漏洞?

在上述攻擊中,我們可以吸取到一些關鍵教訓:

1.對于不同的功能,比如ERC20的存款和ETH/BNB的存款,合約應產生不同的事件證明。

2.始終記得驗證用戶注入的輸入。

3.密切關注近期漏洞事件,并檢查其他項目是否存在類似情況。

4.需要對每個bridge的核心合約進行相應審計。

除此之外,當該漏洞發生后,我們應該:

1.停止中繼消息層并暫停代幣傳輸,bridge合約也應暫停所有充提幣功能。

2.立即通知社區、交易所和平臺合作伙伴,監控資金流向。

3.建立與權威安全專家們的溝通渠道,進行有效的討論和信息共享。

4.識別、驗證和修復漏洞。及時測試以確保現有的漏洞得到解決以及未產生新的漏洞,同時對bridge合約進行升級。

5.評估損失,并與社區就被利用的資產數量、可追回的資產以及補償計劃進行坦誠地溝通

Tags:IDGBRIRIDGEBRIDGEsquidgrow幣總量Equilibrium GamesBarnBridgeCorgi of PolkaBridge

pepe最新價格
Delphi Digital研究員:文化是一種meme NFT也是_NFT:MEME

原文標題:《Right-ClickSave#2:Cultureisameme.SoareNFTs.》評估NFT聽起來很簡單,但實際上是最有挑戰性的事情之一——它包含了許多無形的方面.

1900/1/1 0:00:00
元宇宙:加密貨幣、NFT和奢侈品牌融合之地_元宇宙:NFT

原標題:TheRiseOfTheMetaverse:WhereCrypto,NFTAndLuxuryBrandsMerge十年前,元宇宙聽起來像是科幻動作片里的東西,而現在.

1900/1/1 0:00:00
冰墩墩NFT遇冷 價格跌80% 日成交僅3筆_NFT:PLA

“兩日上漲千倍”并不存在,且冰墩墩NFT的市場熱度遠不及社交媒體所稱的那樣高。2月11日,獲得國際奧委會授權的2022冬奧會吉祥物冰墩墩相關NFT產品在nWayPlay上線,單個售價99美元,本.

1900/1/1 0:00:00
2022年多國加密監管將給市場帶來什么影響_加密貨幣:usdm幣是什么意思

近年來,隨著加密市場趨于主流化,越來越多國家開始重視并紛紛出臺加密監管政策,這些監管政策隨時都將左右加密市場.

1900/1/1 0:00:00
玩冬奧會官方手游 居然還能獲得NFT_NFT:SHIBANFT

這屆冬奧會似乎比以往匯聚了更多的關注,冰墩墩就是最好的例子,一個看似簡單的冰墩墩玩具,竟然一夜之間成為了社交資本.

1900/1/1 0:00:00
對加密可擴展性的展望 并猜測其會不會成為2022年的主角?_加密貨幣:EFI

如果2020年是DeFi之年,2021年是NFT之年,我相信2022年將是加密可擴展性展現其多種面貌的一年。過去幾個月發生的許多事情都是由一場關于加密網絡可擴展性需求日益增長的辯論所推動的.

1900/1/1 0:00:00
ads