火星链 火星链
Ctrl+D收藏火星链
首页 > 币赢 > 正文

PAR:Paraluni被攻击事件分析:一张支票提款两次的作案-ODAILY

作者:

时间:1900/1/1 0:00:00

北京时间2022年3月13日上午9:04,CertiK安全技术团队监测到Paraluni'sMasterChef合约遭到攻击,大约170万美元的资金通过多笔交易从该项目中被盗。

下文CertiK安全团队将从该项目的操作及合约等方面为大家详细解读并分析。

漏洞交易

攻击者地址:https://bscscan.com/address/0x94bc1d555e63eea23fe7fdbf937ef3f9ac5fcf8f

交易实例:https://bscscan.com/tx/0x70f367b9420ac2654a5223cc311c7f9c361736a39fd4e7dff9ed1b85bab7ad54

ParaSpace:即将上线ZkSync网络:7月28日消息,ParaSpace发推称,即将上线ZkSync网络,将支持ETH、USDC、WBTC。[2023/7/28 16:04:23]

合约地址

Masterchef合约:https://bscscan.com/address/0xa386f30853a7eb7e6a25ec8389337a5c6973421d#code

攻击流程

注意,这个攻击流程是以下面这个交易为基础的:https://bscscan.com/tx/0x70f367b9420ac2654a5223cc311c7f9c361736a39fd4e7dff9ed1b85bab7ad54

准备阶段:

攻击者部署了两个恶意的代币合约UGT和UBT。

以太坊钱包Monolith Wallet集成交易聚合平台ParaSwap:基于以太坊的金融服务商Monolith宣布旗下钱包Monolith Wallet已支持去中心化交易聚合平台ParaSwap等去中心化金融服务。Monolith同时表示将在未来推出更多去中心化金融相关的服务及功能。[2020/6/28]

在UBT代币合约中,有两个恶意的函数实现:

1.在"transferFrom()"函数中,攻击者实现了对MasterChef的"deposit()"函数的调用,以存入LP代币。

2.一个"withdrawAsset()"函数,将调用Masterchef的"withdraw()"来提取存入的LP代币。

动态 | CryptoCompare在纳斯达克金融数据平台推出数字资产历史数据产品:加密资产市场数据提供商CryptoCompare在纳斯达克的金融数据平台Quandl上推出了一款新的历史数据产品,它将使机构投资者能够监测新兴的数字资产类别,并利用可信的数据源评估投资机会。这种高度精细的数据源来自选定交易所的交易级别数据,可用于多种目的,包括交易策略回测,定量研究,资产净值计算,风险建模,技术分析,税收计算,参考定价等。(The Daily Hodl)[2020/2/22]

攻击阶段:

攻击者利用闪电贷获得了156,984BSC-USD和157,210BUSD。

攻击者向ParaPair发送通过闪电贷获得的BSC-USD和BUSD代币,并收到155,935枚LP代币作为回报。

声音 | Crypto Compare首席执行官:BTC价格与哈希率成正比:据bitcoinexchangeguide报道,Crypto Compare首席执行官Charles Hayter最近在接受采访时表示,BTC价格与哈希率成正比。现在哈希率正在下降,BTC价格也在下降。[2018/11/28]

然后,攻击者调用"depositByAddLiquidity()"函数,将LP代币存入资金池。

1.在调用此函数时:输入参数“_pid”为18,“_tokens”为。

2.因为depositByAddLiquidity()会调用“UBT.transferFrom()”函数,因此MasterChef.deposit()函数会被触发并且向合约存入155,935LP代币。

3.因此,155,935LP代币被存入了两次并且攻击者获得了两份“userInfo”的记录(一次是从UBT,另一次是从攻击者的合约)。

最后,攻击者提取了两次:

1.第一次是通过函数“UBT.withdrawAsset()”。

2.另一个是来自攻击者对“Masterchef.withdraw()”函数的调用。最后,攻击者删除了流动资金并返还了闪电贷。

合约漏洞分析

在函数`MasterChef.depositByAddLiquidity()`中,作为参数传入的`_tokens`可以与池中的编号为`_pid`的tokens不匹配。

`depositByAddLiquidity()`函数通过调用`addLiquidityInternal()`函数,触发了传入恶意代币的“transferFrom”函数,进而导致了重入的问题。因此,同一份LP代币被存入两次。

资产去向

截至3月13日,总共有价值约170万美元的资产被盗。3000个BNB仍然在攻击者在BSC的地址中,235个ETHs则通过Birdge转移到以太坊,并通过Tornado进行洗白。

写在最后

该次事件可通过安全审计发现相关风险:审计可以发现重入问题和外部依赖问题。

同时,CertiK的安全专家建议:

时刻关注函数的外部输入,尽量避免传入合约地址作为参数。

关注外部调用,为所有可能出现重入危险的外部调用函数加上“nonReentrant”修饰函数。

本次事件的预警已于第一时间在CertiK项目预警推特进行了播报。

除此之外,CertiK官网https://www.certik.com/已添加社群预警功能。在官网上,大家可以随时看到与漏洞、黑客袭击以及RugPull相关的各种社群预警信息。

标签:QUOPARTERCOMQuoll FinanceTRANSPARENT币Butterfly ProtocolComPro

币赢热门资讯
区块链:AAX学院讲解什么是社会影响力区块链项目?-ODAILY

自2017年以来,传统金融开始了解区块链技术的各种不同用例,除了提供改善金融交易和财富所有权的解决方案之外,还探索了产生社会影响力的应用程序.

1900/1/1 0:00:00
RON:波场TRON项目周报(03.26-04.01)-ODAILY

过去的一周,波场TRON项目进展顺利,为满足波场TRON全球社区爱好者阅读,本周周报共分为14种语言,请您选择阅读.

1900/1/1 0:00:00
区块链:SupraOracles 2022区块链游戏专题报告-ODAILY

区块链和加密如何彻底颠覆游戏经济无可否认,视频游戏行业是当今科技和娱乐行业中规模最大、利润最高的行业之一。据估计,世界上超过三分之一的人口玩某种类型的电子游戏.

1900/1/1 0:00:00
AME:最大化使用链上数据,助推GameFi项目的发展-ODAILY

March2022,LesleyDataSource:FootprintAnalyticsGameFi是游戏与去中心化金融的合体,通过Playtoearn的模式.

1900/1/1 0:00:00
DEPO:Meter.io攻击事件分析-ODAILY

前言北京时间2022年2月5日晚,http://Meter.io跨链协议遭到攻击,损失约430万美元。知道创宇区块链安全实验室第一时间跟踪本次事件并分析.

1900/1/1 0:00:00
tether:Tether项目周报(0425-0501) -ODAILY

瑞士加密货币行业着力解决劳动力短缺问题“区块链作为一个技术概念并不难懂,”瑞士洛桑联邦理工学院计算机和通信科学系系主任詹姆斯·拉鲁斯(JamesLarus)说.

1900/1/1 0:00:00