COMBO:可避天灾，难免人祸 —— Furucombo 被黑分析

据链闻消息，著名DeFi项目Furucombo被黑，损失超1400万美元。慢雾安全团队第一时间介入分析，并将攻击细节分享给大家。

攻击细节分析

本次发生问题的合约在Furucombo本身的代理合约当中。整个攻击流程很简单。攻击者通过设置了Furucombo的AaveV2Proxy的逻辑地址导致后续通过Furucombo代理合约调用的逻辑全部转发到攻击者自己的恶意合约上，导致任意资金被盗。

但是如果事情那么简单，那么本次分析不值一提。问题远比想象的复杂得多。

如上图所示攻击者的入口在Furucombo的batchExec函数，我们先对batchExec函数进行分析：

以上是FurucomboProxy合约的batchExec函数的具体实现，其中_preProcess和_postProcess合约分别是对调用前后做一些数据上的处理，不涉及具体的调用逻辑，这边可以先忽略。我们主要观察核心的_execs函数：

Vitalik：因FTX的中心化性质，其崩溃是不可避免的:11月12日消息，以太坊联合创始人Vitalik Buterin表示，FTX的巨大崩溃是不可避免的，因为它的中心化性质。在被问及FTX和其他加密货币公司今年的崩溃时，V神说:“今年我们看到了大量这样的事情，因为它们的模式从根本上说是坏的”。

Buterin指出，FTX的营销类似于“1930年代独裁者”的“个人主义风格”，这与加密货币精神完全相反。（decrypt.co）[2022/11/12 12:54:33]

通过对execs代码的分析不难发现，函数的主要逻辑是对configs数组的数据做检查，并根据configs数组的数据对data进行一些处理。但是回顾上文中攻击者的调用数据，不难发现攻击者的调用数据中，configs的数据是一个0地址：

这里有一个trick，由于0地址是一个EOA地址，所有对EOA地址的函数调用都会成功，但是不会返回任何结果。结合这个trick，execs函数中的关于configs数据的部分可以先暂时忽略。直接看到最后的核心_exec函数：

摩根溪联合创始人：Tesla和SpaceX在资产负债表中添加比特币是不可避免的:据Ambcrypto消息，特斯拉首席执行官Elon Musk自己的Twitter简历上标记了Bitcoin，但是还他没有声明任何有关加密货币的细节。对此，摩根溪联合创始人Anthony?Pompliano评论到：特斯拉和SpaceX在其资产负债表中添加比特币现在是不可避免的。[2021/1/30 14:24:25]

_exec函数的逻辑也很简单，在校验了_to地址后，直接就将data转发到指定的_to地址上了。而通过对攻击交易的分析，我们能发现这个_to地址确实是官方指定的合法地址。

最后一步，便是调用_to地址，也就是官方指定的AaveV2Proxy合约的initialize函数，将攻击者自己的恶意地址设置成AaveV2Proxy合约的逻辑地址。通过对Furucombo合约的分析，可以发现整个调用流程上没有出现严重的安全点，对调用的地址也进行了白名单的检查。那么问题只能是出在了对应要调用的代理逻辑上，也就是AaveV2Proxy合约。

币信矿业CEO刘飞：比特币的稀缺性可避免周期性的经济危机带来的贬值:金色财经现场报道，8月2日，由金色财经主办，阿里云、中科云创、99EX、Asproex、热币、ChainUP、金色算力云首席合作的共为·创新者大会在郑州举办。在主题为《矿业领袖对话：捕捉市场新动向 洞察矿业新趋势》圆桌环节，币信矿业CEO刘飞表示，对区块链行业这十年的发展感受最深的三个词是周期、稀缺和金融危机。我们都知道整个经济的运行是有周期的，金融市场在发展过程中会周期性的出现危机，而每次金融危机时美联储都会不断的印钞，今年也不例外。但是在疯狂的印钞之后，大类资产都会重新被定价。对于比特币来说，其诞生于经济危机，其稀缺性可以免于金融危机带来的贬值。[2020/8/2]

我们直接分析AaveV2Proxy合约的initialize函数的逻辑：

可以看到initialize函数是一个public函数，并在开头就检查了_implementation是否是0地址，如果是0地址，则抛出错误。这个检查的目的其实就是检查了_implementation是否被设置了，如果被设置了，就无法再次设置。根据这个设置，不难想出initialize这个函数只能调用一次。除非AaveV2Proxy从来没有设置过_implementation，否则这个调用是不会成功的。难道Furucombo真的没有设置过对应的_implementation吗？带着这样的疑问，我们检查了交易内的状态变化。如下：

观点：YouTube禁止加密有关内容 去中心化平台将变得不可避免:YouTube对加密相关内容的禁令一度给加密行业带来了麻烦。基于区块链的视频交付网络Theta Labs战略负责人Wes Levitt表示，“我们将YouTube对加密内容的审查视为一个问题，随着越来越多的流媒体被YouTube和其他主要平台禁止，一个完全去中心化的平台将变得不可避免。我认为完全去中心化的平台不一定会取代YouTube，一些内容类型可能仍将更适合集中式平台。但是去中心化的替代方案可以与YouTube并存，从而使观看者有更大的选择在线内容平台的自由。”（Cointelegrapht）[2020/7/2]

可以看到，交易中改变了存储位置为0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc的内容，而写入的内容正是攻击者自己的恶意合约地址0x86765dde9304bea32f65330d266155c4fa0c4f04。

声音 | Ripple首席执行官：Ripple持有超过150亿美元XRP，IPO不可避免:金色财经报道，Ripple公司首席执行官Brad Garlinghouse在接受CNN的采访时表示，最近对该公司的估值被低估了。Garlinghous称，Ripple公司目前持有价值超过150亿美元的XRP。仅这一数字就高于Ripple在最近一轮2亿美元的C轮融资中获得的100亿美元估值。Garlinghouse也澄清了他最近关于Ripple上市可能性的声明。他说，Ripple进行IPO是不可避免的，但时间还不清楚。[2020/2/18]

而0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc这个位置，正是_implementation数据的存储地址。

也就是说，官方从来没有设置过AaveV2Proxy合约的_implementation地址，导致攻击者钻了这个空子，造成了Furucombo资产损失。

总结

通过对整个事件的分析来看，Furucombo此次事故并不在安全漏洞的范畴内，主要的原因在于官方将未启用的AaveV2Proxy合约添加进了自己的白名单中，并且未对AaveV2Proxy合约进行初始化，导致攻击者有机可乘。

建议

目前，由于Furucombo遭受攻击，导致任何将代币授权过给Furucombo合约(0x17e8ca1b4798b97602895f63206afcd1fc90ca5f)的用户都将面临资金损失的风险。

慢雾安全团队建议与Furucombo交互过的用户检查是否有将相关代币授权给Furucombo合约。如有授权，应及时撤销相关授权，避免进一步损失。

**参考链接：**

代币授权检查地址：https://approved.zone/

攻击交易：

__https://ethtx.info/mainnet/0x6a14869266a1dcf3f51b102f44b7af7d0a56f1766e5b1908ac80a6a23dbaf449

往期回顾

王者开局偶遇猪队友——简析AlphaFinance&Cream被黑

BitMart入驻慢雾区，发布「安全漏洞与威胁情报赏金计划」

引介｜一种安全的LP价格的获取方法

千万美元损失背后的闪电贷攻击——yearnfinance被黑简析

如何通过恒定乘积黑掉SushiSwap？简析SushiSwap第二次被攻击始末

慢雾导航

慢雾科技官网

https://www.slowmist.com/

慢雾区官网

https://slowmist.io/

慢雾GitHub

https://github.com/slowmist

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

币乎

https://bihu.com/people/586104

知识星球

https://t.zsxq.com/Q3zNvvF

火星号

http://t.cn/AiRkv4Gz

链闻号

https://www.chainnews.com/u/958260692213.htm

免责声明：作为区块链信息平台，本站所发布文章仅代表作者个人观点，与链闻ChainNews立场无关。文章内的信息、意见等均仅供参考，并非作为或被视为实际投资建议。

本文来源于非小号媒体平台：

慢雾科技

现已在非小号资讯平台发布68篇作品，

非小号开放平台欢迎币圈作者入驻

入驻指南：

/apply_guide/

本文网址：

/news/9726853.html

免责声明：

1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险

2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场

上一篇：

盘点零知识证明代表性项目：如何影响和塑造区块链生态系统？

标签：COMPLECOMBOCOMBcomp币价格今日行情PLEXcombo币圈combo币怎么样

POL币最新价格热门资讯