KEN:详解Qubit项目QBridge被黑始末：不翼而飞的8000万美元

据慢雾区情报，2022年01月28日，Qubit项目的QBridge遭受攻击，损失约8000万美金。慢雾安全团队进行分析后以简析的形式分享给大家。

简要分析

1.攻击者通过ETH上的QBridge合约进行存款操作，存款时传入所要跨的目标链destinationDomainID、所要跨链的资产resourceID以及跨链资金数量与接收地址等参数构成的data。2.攻击者指定传入的resourceID为跨ETHToken所需要的值，但其调用的是QBridge的deposit函数而非depositETH函数，因此首先绕过了跨链资金数量与msg.value的检查。deposit函数会根据resourceID从映射中取出handler地址进行充值，由于攻击者传入的是真实的跨ETHToken所需要的值所以可以顺利调用handler合约的deposit函数。3.handler合约的deposit函数中会根据resourceID取出的所要充值的Token是否在白名单内进行检查，由于攻击者传入的resourceID对应ETH，因此映射中取出的所要充值的Token为0地址，即会被认为是充值ETH而通过了白名单检查。但deposit函数中却并没有对所要充值的Token地址再次进行检查，随后直接通过safeTransferFrom调用了所要充值的Token的transferFrom函数。4.由于所要充值的Token地址为0地址，而call调用无codesize的EOA地址时其执行结果都会为true且返回值为空，因此通过transferFrom的转账操作通过了safeTransferFrom的检查，最后触发了Deposit跨链充值事件。5.由于传入的resourceID为跨ETH所需要的值，因此触发的Deposit事件与真正充值ETH的事件相同，这让QBridge认为攻击者进行了ETH跨链，因此在BSC链上为攻击者铸造了大量的qXETHToken。攻击者利用此qXETH凭证耗尽了Qubit的借贷池。MistTrack分析

美媒：马斯克曾试图就推特问题与FTC主席会面，但遭到拒绝:金色财经报道，马斯克曾要求与美国联邦贸易委员会（FTC）主席莉娜·可汗（Lina Khan）会面，但遭到了拒绝。该委员会一直在调查推特的隐私和数据操作。一位知情人士表示，马斯克是在去年年底做出这一尝试的。马斯克试图与FTC联系，表明了该机构对推特调查的严重性。该机构调查的重点是，在马斯克去年收购这家社交媒体公司并解雇了数千名员工之后，这家公司是否有足够的资源保护用户的隐私。据悉该机构曾单独寻求就调查与马斯克面谈，但一位知情人士说，会谈尚未进行。[2023/3/31 13:36:33]

慢雾AML旗下MistTrack反追踪系统分析发现，攻击者地址(0xd01...5c7)首先从Tornado.Cash提币获取初始资金，随后部署了合约，且该攻击者地址交互的地址是Qubit、PancakeSwap和Tornado.Cash合约地址。目前资金未发生进一步转移。慢雾AML将持续监控被盗资金的转移，拉黑攻击者控制的钱包地址，提醒交易所、钱包注意加强地址监控，避免相关恶意资金流入平台。

MOOAR白皮书：Generative NFT Tool（GNT）面向所有MOOAR成员开放:3月14日消息，STEPN开发商Find Satoshi Lab（FSL）推出的NFT Launchpad MOOAR白皮书显示，Generative NFT Tool（GNT）面向所有MOOAR成员开放。其中普通成员（General Members）在没有该铸造选项的情况下仅能生成1-3张预览图像，每天最多可以尝试5次。

VIP成员则可以批量创造并提交最多1000个NFT。一旦该系列完成生成且prompt trail结果确认，此NFT系列将面向公众进行FairMint，每天最多可以尝试25次。需要注意的是，此功能仅限于Solana链上使用，在Alpha测试阶段，生成NFT不需要GMT，不过未来将需要销毁GMT以生成NFT。

昨日消息，STEPN官方推特今日发布了一副配有GNT文字的meme图片，疑似将发行新代币。[2023/3/14 13:03:42]

DeFi解决方案Shorter Finance获OpenAI Startup Fund投资:金色财经报道，DeFi 解决方案 Shorter Finance 获得 OpenAI Startup Fund 投资，具体金额暂未披露。总部位于旧金山的 OpenAI 致力于打造通用人工智能产品，也是AI 聊天机器人 ChatGPT 的创建者，于 2022 年 10 月设立了该创投基金，在收到 Shorter Finance 投资申请后进行了项目分析并最终决定投资。Shorter Finance 为用户提供链上基础设施服务，包括流动性挖矿、可定制衍生品交易等，而且还与Discord 和 Telegram 等消息服务、钱包应用程序、交易所进行了整合。（digitaljournal）[2023/1/31 11:38:50]

总结

本次攻击的主要原因在于在充值普通Token与nativeToken分开实现的情况下，在对白名单内的Token进行转账操作时未对其是否为0地址再次进行检查，导致本该通过native充值函数进行充值的操作却能顺利走通普通Token充值逻辑。慢雾安全团队建议在对充值Token进行白名单检查后仍需对充值的是否为nativeToken进行检查。参考交易：https://etherscan.io/tx/0x478d83f2ad909c64a9a3d807b3d8399bb67a997f9721fc5580ae2c51fab92acfhttps://bscscan.com/tx/0x33628dcc2ca6cd89a96d241bdf17cdc8785cf4322dcaf2c79766c990579aea02原地址

标签：TOKETOKENKENTOKGanesha Tokenvv3tokenGro DAO TokenBIB Token

芝麻开门交易所下载热门资讯