火星链 火星链
Ctrl+D收藏火星链

XEN:解读FTX交易所免手续费漏洞致使被薅20W刀XEN的羊毛案

作者:

时间:1900/1/1 0:00:00

被朋友Q到近期火热的羊毛事件,截止目前,不仅是黑客获利超20W刀,FTX损失108+个ETH,合计有38名同样思路的攻击者部署合约发起攻击。本文从技术维度出发,深入分析此利用FTX交易所免手续费提币的漏洞,结合智能合约回调发起的攻击方式,并通过样例代码复现实现原理。由于FTX已经通过人工审计针对攻击者进行惩罚,该漏洞处于风险可控阶段。切勿尝试可能导致封号没收质押物。1、背景

1.1XEN是什么?

是近期大火的一个XEN币,到10-15为止已有超过120W笔交易,其实笔者对这类缺乏长期价值对Web3毫无建设性意义的项目一直没什么兴趣,因为他的机制就是只要发起的交易消耗了多少的GAS,就可以铸造出一定数量的XEN币,而众所周知Etherscan有针对gas消耗的排行榜可以看到真正出色的项目往往由于服务用户多交易量大,所以gas消耗高排名靠前,仿佛成了另一种的应用商店热门榜单,而XEN一举通过“冲票“成了冠绝以太坊整个生态的Top1,且等于其他好项目的总和。

观点:柴犬相关Meme币的上涨不可持续,无需过度解读:金色财经报道,周一,Twitter将网页LOGO图标从蓝鸟更改为DOGE狗狗头像,狗狗币(DOGE)的价格几乎立即飙升,其他几个以柴犬为主题的Meme币也大幅上涨,整个板块平均涨幅为14%。SHIB等大市值代币涨幅达10%,而FLOKI、KISHU和BABYDOGE等小市值代币涨幅达25%。此外,3月份上线的zkSync区块链上的zkDoge和zkShib,涨幅高达100%。

然而,这种上涨不太可能长期持续,一些交易员警告称,这种走势并不预示着更广泛的趋势。

加密货币交易公司Flowdesk首席执行官Guilhem Chaumont表示:“我们不认为这预示着一场长期牛市。恰恰相反,加密市场的上升趋势是有规律的,首先是比特币经历牛市,然后是主要的山寨币,最后是市值较小的代币。[2023/4/6 13:48:07]

网信办:加强对《区块链信息服务管理规定》等法规规章的宣传解读:金色财经报道,中央网络安全和信息化委员会办公室印发《网信系统法治宣传教育第八个五年规划(2021-2025年)》,其中指出要加强对《关键信息基础设施安全保护条例》《互联网信息服务管理办法》《互联网新闻信息服务管理规定》《区块链信息服务管理规定》等法规规章的宣传解读。[2021/11/18 6:57:19]

可拓展阅读:当我们在看Etherscan的时候,到底在看什么?1.2受害方FTX交易所

本次被攻击的也正是其免费提币的优惠活动,在平台有质押且有一定交易记录后即可发起免费提币,而提币会受制于之前交易量

分析 | 币安中签解读:最新中签率显示持仓逐步分散 机构投资者或有一定撤离:据TokenGazer观察BNB最新的中签信息,TokenGazer猜测机构投资者可能已经有一定程度撤离。

本次elrond中签率仅为11.07%,大幅度低于one的30%和matic的58%;

总签数10833,共计锁定978.5万BNB,约占BNB总体供应的10%,远远高于之前锁定2%左右的量,说明BNB的持仓已经有了一定程度的分散。

而币安自6月中宣布在9月隔离美国用户后出现较大幅度的跌幅,时间点上和本次Launchpad抽签时间段重合,可能说明机构投资者对监管有所顾虑已经出现一定程度撤离。[2019/7/2]

1.3链上数分结果

其实mirror上爆出的还不是最大的攻击者,而此攻击手法最早出现在10-10号,截止10-15号,合计类似逻辑的攻击地址有38个,合计1.45W笔攻击。计算依据:FTX热钱包单笔转移gas消耗大于5W,且to地址是合约地址的交易。下图为其中top10的攻击者,其交易数占总攻击数的80%,致使FTX手续费损失86个ETH笔者通过对其交易的gas消耗总值核算后,得出FTX本次损失总值为:108.19个ETH合计铸造出XEN约24亿个。按14号日常价格估算的话,则黑客总收益在24W美金以上

声音 | 证券日报:应正视区块链信息服务备案编号的作用 不可过度解读:据证券日报4月2日报道,日前,国家互联网信息办公室官网发布公告,披露第一批共197个境内区块链信息服务名称及备案编号。值得注意的是,“备案编号”并不能看做是给区块链披上合法的“黄马甲”,应正确认识“备案编号”的作用。网信办表示,备案仅是对主体区块链信息服务相关情况的登记,不代表对其机构、产品和服务的认可,并强调,任何机构和个人不得用于任何商业目的。[2019/4/2]

详细数据可<十四君>公众号后台输入”FTX与XEN”获得2、黑客攻击流程分析

动态 | “区块链”一词入选“汉语盘点2018”国际词解读:人民网刊文《“汉语盘点2018”国际词解读》,“区块链”一词,与贸易摩擦、板门店、伊核协议等一起入选。文中称, 2008 年首次提出区块链概念以来,这项技术快速发展并在全球范围内广泛应用。在全球化、信息化和数字化时代,区块链代表了一种新的技术发展方向,为推动世界经济与国际合作提供了一个新的机会。[2018/12/11]

2.1核心原理

智能合约的fallback/receive可任意执行逻辑。任何一个合约都有默认的fallback函数,典型的功能就是让合约可以接收以太币并对其做出反应,这也是代币型合约用来拒绝转账、发出事件或转发以太币的典型模式。后来更多场景是应用在代理升级模式总之就是,一笔指向合约地址的交易,如果没有匹配到对应执行的函数,就必然会执行fallback函数,而fallback可以将输入参数指向另一个合约地址,从而执行对应的逻辑。参考:https://blog.soliditylang.org/2020/03/26/fallback-receive-split/2.2攻击流程

其实看完手法核心,已经很明显了黑客先部署了一个攻击合约0xCba9b1然后利用FTX的交易免费提币功能让FTX的热钱包0xc098b2,发起了一笔指向攻击合约的提币导致交易触发指向XEN合约的Mint函数调用由于XEN合约可以设置Mint出代币的收益方,从而将代币转入黑客地址

2.3手法还原

其实任意fallback非常好触发,咱们通过现场手搓实现下,当然并不是MintXen,而是临时随意的一个20token来示意。下文便是最简单的一个ERC20代币了,任何人均可执行mint函数,雷同于XEN了对于ERC20/721实现原理可拓展阅读:你买的NFT到底是什么?

而攻击合约也很简单,设置写死要调用Mint的XEN合约地址以及黑客收益的地址。

可以看到实验中,对此攻击合约发起的任意一笔交易,即会触发了receive,且myAddr的GLD余额增加1e18个,当然并不能拿着这个代码就去复现黑客的实现了,因为要铸造更多的GEX还得增加工厂合约部署的逻辑,即能提高gas消耗也吻合XEG的mint管理。

3、总结-从攻击事件看“元交易”

其实如果不是黑客本身知道FTX有免费提币优惠,且其提币的交易的gasLimit设置为固定值50W,则很难发起这样的攻击,因为依据以太坊黄皮书,普通转账也仅仅需要2.1W的gas即可。黑暗森林的web里知其雄守其雌,这样的攻击从历史进程来看,其实更有警示性意义笔者想谈谈元交易的发展元交易是来自于ChristianLundkvist教授在2015年的一个设想如今上手Dapp实在是太麻烦了,以太坊生态若想普及,就应该允许新用户直接使用其功能,而不是先安排几座大山让用户翻山越岭。这意味着需要为新来的用户垫付Gas费用。当前的以太坊协议并没有提供原生方法来实现这一点。然而,得益于公/私密钥对,用户可以通过对元交易进行签名并证明所有权。相信未来元交易终会成为应用主流,本次的FTX代付gas执行免费提币转账还只是元交易的某种小小实现,但只有安全+无感才能迎接全民低成本上链时代的到来,为此安全与风控都需要特别注意,这也是笔者分析安全案件的初衷。欢迎你从后台提交web3行业问题探讨点赞关注十四,用技术视角带给你价值

标签:FTXXEN区块链GASCLOCK Vault (NFTX)XENC区块链工程专业学什么女生好UGAS-JUN21价格

币安app官方下载最新版热门资讯
APP:应用链的兴起将带来哪些风险和机遇?未来将会如何发展?

虽然区块链的最初应用围绕货币和金融,但在过去几年中,艺术、游戏和音乐等领域的应用激增。与此同时,这些应用程序中的聚合用户数量一直呈线性增长,给底层基础设施带来压力并降低用户体验.

1900/1/1 0:00:00
MMA:专访LongHash Ventures创始人:手握1亿美元风投基金的亚洲「加密女王」

EmmaCui是Web3加速器和新加坡风险投资基金LongHashVentures的创始合伙人。在开始她的银行业职业生涯后,她遇见了加密货币并坚定地进入了加密行业.

1900/1/1 0:00:00
以太坊:欢迎进入POS新世界,以太坊合并后最新信息(持续更新)

以太坊合并事件于9月15日13时46分顺利完成,此次合并事件也是加密历史上最重要的转折点之一,标志着以太坊从工作量证明(Proof-of-Work)向权益证明(Proof-of-Stake)共识.

1900/1/1 0:00:00
OSM:Cosmos走向2.0,新经济模型将如何作用于ATOM价格?

CosmosHub2.0白皮书草案已在治理论坛正式公布,描述了CosmosHub全新的生态角色以及ATOM的全新代币经济学。该白皮书将于10月3日上链并进行社区投票.

1900/1/1 0:00:00
Huobi:掌舵火币九年,「李林时代」正式宣告结束

10月8日,加密交易平台HuobiGlobal宣布HuobiGlobal控股股东公司已向百域资本旗下基金转让所持有的全部HuobiGlobal股份.

1900/1/1 0:00:00
GAME:深度解析GameFi上游发展现状及展望

摘要Gamefi相比web3其他赛道会有更多web2的用户、有更多的交互需要更好的性能,并且链上资产的同质化很高、数量很多,所以需要更加垂直化的web3基础设施.

1900/1/1 0:00:00