前言
北京时间2022年2月5日晚,http://Meter.io跨链协议遭到攻击,损失约430万美元。知道创宇区块链安全实验室第一时间跟踪本次事件并分析。
分析
基础信息
tx:0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
元宇宙项目Metropolis World的Discord服务器已被入侵:金色财经报道,据元宇宙项目Metropolis World官方推文,其Discord服务器已被入侵。提醒用户不要点击链接、铸造或批准任何交易。[2022/9/14 13:28:54]
攻击者:0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
Bridge:0xFd55eBc7bBde603A048648C6eAb8775c997C1001
JGN的JuggyLAND Metaverse 游戏暂定23日上线:官方消息,JGN的JuggyLAND 元宇宙游戏第一阶段和第二阶段暂定于北京时间2021年12月23日上线。
JGN将联合更多生态系统共同推进游戏拓展,包括通货紧缩机制,集成DAO,JGNNFT整合,链接更多元宇宙游戏和生态等。
JuggyLAND是一款 Metaverse 游戏,采用全新的战斗系统,让玩家通过收集、战斗和繁殖(幼狮)来赚取JGN。
JGN是一个具有DeFi 基础设施的 Metaverse NFT 2.0 项目。旗下JGNnft是专注于BSC社区的NFT+DEFI交易所。[2021/12/12 7:34:05]
ERC20Handler:0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51
Open Meta基金会融资450万美元,Animoca Brands等参投:11月18日消息,Open Meta Association在瑞士楚格成立后宣布,2021年6月以1亿美元估值通过代币预售融资450万美元,以创建Open Meta DAO。该DAO将促进开发基于Web3基础设施的开放元宇宙,由社区拥有和控制。Open Meta Association将于2022年1月正式创建Open Meta DAO,并向参与6月预售的创始成员分发其治理代币。Open Meta DAO的创始参与者包括Animoca Brands、Outlier Ventures、Enjin、Polygon高管Sandeep Nailwal和Shreyansh Singh、Dapper Labs、Wilder World创始人David Waslen、Spartan Group、KardiaChain、Yield Guild Games创始人Gabby Dizon、LD Capital、Boson Protocol、NFT收藏者和投资者Sillytuna等。(Globenewswire)[2021/11/18 6:57:34]
漏洞原理
漏洞关键在于跨链桥合约的deposit函数中,deposit函数会根据resourceID取相应的depositHandler,并调用deposit函数进行实际的质押逻辑。
而在depositHandler的deposit函数中,存在逻辑缺陷,当tokenAddress不为_wtokenAddress地址时进行ERC20代币的销毁或锁定,若为_wtokenAddress则直接跳过该部分处理。
该存在缺陷的逻辑判断可能基于在跨链桥合约中的depositETH函数会将链平台币转为wToken后转至depositHandler地址,所以在depositHandler执行deposit逻辑时,已处理过代币转移,故跳过代币处理逻辑。
但跨链桥合约的deposit函数中并没有处理代币转移及校验,在转由deposiHandler执行deposit时,若data数据构造成满足tokenAddress==_wtokenAddress即可绕过处理,实现空手套白狼。
总结
本次攻击事件核心原因在于http://Meter.io跨链桥depositHandler质押处理器中,存在逻辑判断缺陷,满足了跨链桥合约depositETH的逻辑场景,但忽视了deposit逻辑场景存在绕过缺陷。
近期,各类合约漏洞安全事件频发,合约审计、风控措施、应急计划等都有必要切实落实。
区块链和加密如何彻底颠覆游戏经济无可否认,视频游戏行业是当今科技和娱乐行业中规模最大、利润最高的行业之一。据估计,世界上超过三分之一的人口玩某种类型的电子游戏.
1900/1/1 0:00:00北京时间2022年3月13日上午9:04,CertiK安全技术团队监测到Paraluni'sMasterChef合约遭到攻击,大约170万美元的资金通过多笔交易从该项目中被盗.
1900/1/1 0:00:00March2022,LesleyDataSource:FootprintAnalyticsGameFi是游戏与去中心化金融的合体,通过Playtoearn的模式.
1900/1/1 0:00:00瑞士加密货币行业着力解决劳动力短缺问题“区块链作为一个技术概念并不难懂,”瑞士洛桑联邦理工学院计算机和通信科学系系主任詹姆斯·拉鲁斯(JamesLarus)说.
1900/1/1 0:00:002022年,围绕加密资产行业的监管活动步伐大幅加快,许多国家开始制定市场规则。该行业的发展以及政府为其定义一个连贯框架的紧迫性日益增加,这加剧了讨论,我们可以预期在2022年之前会有一系列新规则.
1900/1/1 0:00:00但我不认为Web3仅仅是一组新技术。更是一种新的模式。个人和企业通过尊重他们自由和选择的网络进行互动,使他们能够管理自己的生活.
1900/1/1 0:00:00