前言
北京时间2022年2月5日晚，Meter.io 跨链协议遭到攻击，损失约 430 万美元。知道创宇区块链安全实验室 第一时间跟踪本次事件并分析。
分析
基础信息
tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
社交媒体元宇宙Umetaworld将推出其新网站和移动应用程序:7月8日消息，社交媒体元宇宙Umetaworld宣布将于7月第二周上线网站，7月16日发布应用程序。Umetaworld致力于通过VR技术复制现实世界，支持用户使用自拍创建自己的3D虚拟化身，并用NFT装饰。Umetaworld可创建和定制私人房间以及举办虚拟活动，例如音乐会、会议、聚会和购物等。（Cointelegraph）[2022/7/9 2:01:30]
攻击者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
Metrika完成1400万美元A轮融资，Neotribe Ventures领投:9月21日消息，区块链监控初创公司Metrika获得1400万美元A轮融资，Neotribe Ventures领投，Coinbase Ventures、Samsung NEXT、Nyca Partners、SCB 10X等参投。Metrika首席执行官Nikos Andrikogiannopoulos表示，此轮融资是股权交易，作为交易的一部分，Neotribe Ventures联合创始人Swaroop“Kittu”Kolluri加入Metrika董事会。
Metrika计划利用新资金扩大其平台的容量，并扩大其跨行业的客户群。据悉，Metrika目前的客户包括Algorand、Solana、ConsenSys、Dapper Labs、Hedera Hashgraph、Blockdaemon。（The Block）[2021/9/21 23:41:09]
Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001
SupreNFT与NFT.Metaverse平台KAKA 达成战略合作:据官方消息，多元融合NFT平台SupreNFT宣布与NFT.Metaverse平台KAKA达成战略合作。KAKA NFT 作为链上IP 聚合价值平台，将全程参与SuperNFT的盲盒发售。
双方还将集成优势、共享资源，在动漫、游戏、电竞、虚拟偶像及元宇宙等领域，展开品牌宣传、市场拓展、社区建设等方面的合作，共同推进Supre NFT与KAKA双方的生态发展。[2021/7/17 0:59:30]
ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51
漏洞原理
漏洞关键在于跨链桥合约的deposit函数中，deposit函数会根据resourceID取相应的depositHandler，并调用deposit函数进行实际的质押逻辑。
而在depositHandler的deposit函数中，存在逻辑缺陷，当tokenAddress不为_wtokenAddress地址时进行 ERC20 代币的销毁或锁定，若为_wtokenAddress则直接跳过该部分处理。
该存在缺陷的逻辑判断可能基于在跨链桥合约中的depositETH函数会将链平台币转为wToken后转至depositHandler地址，所以在depositHandler执行deposit逻辑时，已处理过代币转移，故跳过代币处理逻辑。
但跨链桥合约的deposit函数中并没有处理代币转移及校验，在转由deposiHandler执行deposit时，若data数据构造成满足tokenAddress == _wtokenAddress即可绕过处理，实现空手套白狼。
总结
本次攻击事件核心原因在于 Meter.io 跨链桥 depositHandler质押处理器中，存在逻辑判断缺陷，满足了跨链桥合约depositETH的逻辑场景，但忽视了deposit逻辑场景存在绕过缺陷。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
去中心化的自治组织（DAO）最近名声大噪。像FlamingoDAO这样的收藏家的DAO正在购买Bored Ape Yacht Club和Crypto Punks等蓝筹项目的NFT.
1900/1/1 0:00:00在Web2的世界里,社交总是最令人兴奋的赛道：短时间内就可能爆发巨大的流量,沉淀的社交关系能够形成坚固的护城河,层出不穷的功能和内容让所有人都能获得新的产品体验.
1900/1/1 0:00:00Terra生态系统崩溃继续呈现余波,位于美国的收益生成应用Stablegains因该事件遭受损失而面临潜在的法律诉讼.
1900/1/1 0:00:00大多数企业的财务支出中经常性支付占很大的比例,比如租金、账单以及工资等。而由于之前在区块链上执行交易具有较高的门槛,且交易流程相对复杂,因此很难被用于这类频率非常高的经常性支付操作.
1900/1/1 0:00:00近日,NFT项目Local Weather凭借魔性的设计风格吸引了一些加密爱好者关注,该系列NFT图片的主题是运动,但形象并非人物或动物,画面中仅有一双双「腿」和「手」,或进行滑板.
1900/1/1 0:00:00随着行情回暖,链游版块迅速回血,颇有周期拐点之势。然而,一轮周期一轮洗牌,不是每款链游都有幸跟随周期从谷底攀上新一轮巅峰,只有实力选手才有机会继续留在牌桌上。尽管我们说下一波链游,可玩性是核心.
1900/1/1 0:00:00
火星链