2022年3月13日，成都链安链必应-区块链安全态势感知平台舆情监测显示，Paraluni合约遭受攻击，损失约170万美元，成都链安技术团队对此事件进行了相关分析。
#1总述
我们以第一笔攻击交易0xd0b4a1d4964cec578516bd3a2fcb6d46cadefe1fea5a2f18eec4c0a496e696f9为例：
地址列表
攻击地址：
0x94bC1d555E63eEA23fE7FDbf937ef3f9aC5fcF8F
攻击合约：
0x4770b5cb9d51EcB7AD5B14f0d4F2cEe8e5563645
ParaProxy：
SyncSwap中文号及其运营者因发表空投相关言论遭项目方弃用:4月10日消息，SyncSwap 中文号及其运营者发布项目空投相关信息，其中提到 Token 分配中空投与交易激励是分开的，其中空投份额为总量的 15%，但目前官方的 Token 经济学文档已经设置权限而无法查看。
随后，该账号表示将不会再更新任何推文，即该中文推特被弃用。[2023/4/11 13:55:13]
0x633Fa755a83B015cCcDc451F82C57EA0Bd32b4B4
ParaImpl：
0xA386F30853A7EB7E6A25eC8389337a5C6973421D(MasterChef)
UGT：
0xbc5db89CE5AB8035A71c6Cd1cd0F0721aD28B508
成都链安：ApolloX 项目方因签名系统缺陷被攻击，损失约160万美元:金色财经消息，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，ApolloX 项目遭受攻击，根据成都链安技术团队分析，发现ApolloX签名系统存在缺陷，攻击者利用签名系统缺陷生成了255个签名，总共从合约中提取了53,946,802$APX，价值约160万美元，目前被盗金额通过跨链已打入以太坊0x9e532b19abd155ae5ced76ca2a206a732c68f261地址。此前，ApolloX代币APX在今日19:00左右从0.054美元快速跌至0.019美元，闪跌约60%。[2022/6/9 4:11:35]
UBT
0xcA2ca459Ec6E4F58AD88AEb7285D2e41747b9134
Kyber Network：将部分KNC和投票权委托给项目方以扩展治理:Kyber Network官方推特刚刚表示，我们通过将部分KNC和投票权委托给有助于Kyber发展的项目来扩展KyberDAO治理。这确保了投票权掌握在重要的利益相关者手中，这些利益相关者对Kyber至关重要。[2020/11/16 20:59:25]
1.向CakeSwap(0x7EFaEf62)中通过闪电贷借贷224BSC-USD,224BUSD
2.把第1步借到的代币向Para-LP(0x3fD4FbD7)中添加流动性，并将获得的222枚流动性代币的接收地址指定为UBT(0xcA2ca459)地址，这一步是为了后续的重入做准备。
声音 | Bitsoda联合创始人李星辰：针对项目方的需求出针对性的解决方案:由区分主办、金色财经联合推出的《了不起的数字资产交易所》大型线上AMA对话节目中，鸵鸟区块链主编柯蒙对话Bitsoda联合创始人李星辰，在谈到做交易所面临的挑战时，李星辰分享到：Bitsoda特别怕自己做成自己讨厌的样子——就是非常教条地把方案灌输给项目方。其实不是每一个项目都适合做抢购、不是每一个项目过来，推一堆社区过去就可以。所以，现在有项目方来合作的时候，我们花的时间最久就是在前期沟通，一定要通过多次的沟通了解到项目方的需求再对症下药。[2019/10/29]
图1初始准备
3.攻击合约(0x4770b5cb)调用ParaProxy合约的depositByAddLiquidity函数，添加流动性代币抵押挖矿，此处传入的pid为18，对应的Para-LP(BSC-USD/BUSD)0x3fD4FbD7a83062942b6589A2E9e2436dd8e134D4，但是token0，token1传入的地址为UGT、UBT的地址，数量为1e18。
图2重入攻击
4.此处原本正常的逻辑为：添加流动性，并将流动性代币存入pid为18的流动性抵押池，但是本函数在代码中并未检查添加的流动性token0、token1得到的流动性代币是否与pid对应的流动性代币地址一致，导致了攻击的发生。注意，并不是所有的流动性池抵押都有该风险，由于第2524行代码，pool的ticket需要为零地址才能够通过该检查。
但是攻击者通过控制执行逻辑，实际执行的逻辑为：第2505,2506行将攻击者指定的1枚UGT、1枚UBT代币转入ParaProxy合约。然后在第2535行代码用于添加流动性，并在第2537行检查添加的流动性代币数量。
此时，vars.oldBalance为初始流动性代币数量。攻击者为了通过第2537行的检查，在添加流动性的过程中，进行了重入攻击。由于在添加流动性时调用了攻击者构造的恶意代币的transferFrom函数，攻击者在transferFrom函数中才将流动性通过deposit函数存入ParaProxy合约。这也是第2步时攻击合约将流动性代币接收地址指定为UBT合约的原因所在。
在重入过程中，UBT合约存入了真正的LP代币222枚，并计入ParaProxy的账本中。在重入完成后，ParaProxy合约地址新增了222枚LP代币，ParaProxy合约将其视为攻击合约添加的LP，并计入账本中。至此，UBT合约和攻击合约都新增了222枚LP的存取记录。
图3ParaImpl合约相关代码
重入相关过程如下图所示：
图4攻击流程示意图
5.UBT合约和攻击合约分别调用withdraw函数，从ParaProxy合约提取221枚LP，并归集到攻击合约，由攻击合约将LP移除流动性并获取对应的BSC-USD以及BUSD。
6.归还闪电贷225枚BSC-USD,225枚BUSD，并将获利的221枚BSC-USD、225枚BUSD发送到攻击者地址。整个攻击交易执行完成。
#2总结建议
攻击者一共执行了约40次攻击，共获利约170万美元。截止发稿时，攻击者通过跨链协议将其转到以太坊网络中，并将其中的660枚ETH转入Tornado.Cash，另外5枚ETH转入了0xDd52CE617cAF1b7C8cEaCC111DE2f1c54E20C1b0地址。
本次攻击主要由合约代码中存在逻辑缺陷以及存在资金操作的关键函数未进行防重入导致。建议合约开发者在开发过程中进行完整的测试以及第三方审计，并养成使用Openzeppelin库的ReentrancyGuard合约来进行重入攻击的防范。
将质押参数更改为最低提名金额为10DOT、最多提名人为50,000的50号公投已经通过并执行！请注意,这次公投通过并不一定意味着所有提名人都将获得Staking奖励.
1900/1/1 0:00:00伦敦,2022年3月17日—Qredo是用于数字资产托管和结算的分散式第2层基础设施,已获得服务机构控制类型1类的认证.
1900/1/1 0:00:00北京时间2月24日,俄罗斯总统普京正式宣布于乌克兰顿巴斯地区开展“军事行动”,乌克兰总统随即宣布全国进入战时状态。对,不是吃鸡,不是坦克世界,而是真正的战争.
1900/1/1 0:00:00“波卡知识图谱”是我们针对波卡从零到一的入门级文章,我们尝试从波卡最基础的部分讲起,为大家提供全方位了解波卡的内容,当然这是一项巨大的工程,也充满了挑战.
1900/1/1 0:00:00区块链通过网络可以将记录数字化并分发到网络上,有了区块链,交易验证不再依赖单一的中心化机构。在毛球科技看来,没有单点故障——或腐败——不仅是去中心化结构范式的固有安全优势,也是基本的哲学和商业驱.
1900/1/1 0:00:00据最新消息,截至5月26日,波场去中心化算法稳定币USDD发行总额为575,498,101美元,突破5.7亿美元,对应TRX销毁量为7,275,883,764TRX,超72亿枚.
1900/1/1 0:00:00
火星链