TRANS:跨链交易协议THORChain被攻击事件分析

北京时间7月23日，去中心化跨链交易协议?THORChain(RUNE)再次遭遇攻击，包括XRUNE在内的多种ERC20代币受到影响，涉及损失约800万美元。THORChain已是一个月内第三次受到攻击，此前在7月16日遭受攻击，损失约4000ETH；在6月29日遭受恶意攻击，损失14万美元。

跨链交易平台zkLink的Discord服务器已被入侵:金色财经报道，据CertiK监测，跨链交易平台zkLink的Discord服务器已被入侵，有黑客发布了网络钓鱼链接。在团队确认重获对服务器的控制之前，请勿点击任何链接。[2023/4/19 14:12:23]

SharkTeam第一时间对此事件进行了攻击分析和技术分析，并总结了安全防范手段，希望后续的区块链项目可以引以为戒，共筑区块链行业的安全防线。

一、事件分析

攻击交易：https://etherscan.io/tx/0xce958939ba23771d0a0b80532c463b4cbbb175f4d14c08d9d27dd251f68a5da1

首个波卡XCM跨链交互已在Moonbeam与Acala之间上线:据官方消息，基于Polkadot的多链应用开发平台Moonbeam已宣布使用双向HRMP通道与Acala网络建立跨链连接，无需桥梁便可允许两条链之间的本地通信和Token传输。

通过本次集成，Acala的原生Token（ACA）及其去中心化稳定Token（aUSD）可在Moonbeam的DeFi生态系统中自由移动和使用。待本月Moonbeam Runtime更新完成后，GLMR将能够在Acala上使用。[2022/5/13 3:13:56]

5月31日首个搭建在SWTC公链上的跨链交换功能开通:基于井畅数字开发的智能合约银关跨链技术，首个搭建在SWTC公链上威链数字资产Decentralized交换平台于2018年5月31日,开通了以太ETH及ERC20代币（token）的跨链交换功能，做到了现实中不同公链之间的token无障碍交换，让数字资产Decentralized跨链交换技术，向前大大地跨进了一步。井畅是为数不多实现真正意义上基于区块链的分布式交易所技术平台。[2018/5/31]

图1攻击者攻击THORChainRouter获取XRUNE代币

攻击者调用THORChainRouter合约的transferOut函数向攻击者转了一笔数量为amount的代币，代币的类型由asset的类型来确定，转账的sender为THORChainRouter的合约地址。

超级钻石：跨链交互测试顺利完成 :据了解，超级钻石于一月上旬完成了跨链交互的全部底层设计，并成功发起“自”测试链与gr（个人）私有链之间相互传输的第一批次跨链交易。这说明在Super diamon生态中的跨链传输已成为可能。[2018/1/15]

图2?THORChainRouter合约的TransferOut函数

图3?通过TransferOut函数牟利Sushi币

攻击者之所以可以实现这样的攻击，是因为THORChainRouter合约的TransferOut函数漏洞导致--使用asset.call(abi.encodeWithSignature("transfer(address,uint256)",to,amount))语句进行转账;

图4?YFI.sol中的transfer

图5?FiatToken.sol中的transfer

图6?XRUNE.sol中的transfer?

在使用call函数时，msg.sender的值为THORChainRouter地址，执行环境为被调用者的运行环境，因此会调用asset代币合约中的transfer函数，向接收者转出代币。而此次攻击者攻击THORChainRouter合约牟利的六种代币合约中，实现转账的函数均为"transfer(address,uint256)"这种形式，这也使得攻击者有可乘之机。

标签：TRAOUTANSTRANSTRAVA价格Breakout Stakesanshu币最新消息TRANSPARENT币

XLM热门资讯