美文网首页
2022-10-02

2022-10-02

作者: 斧正堂 | 来源:发表于2022-10-02 23:49 被阅读0次
Transit Swap被黑分析
原创 Numen Cyber Labs Numen Cyber Labs 2022-10-02 15:22 发表于新加坡
收录于合集
#安全事件分析
8个
#Web3安全
16个
  事件回顾
10月2日,NUMEN实验室根据链上数据监测,发现TokenPocket支持的跨链交易平台聚合器Transit Swap遭到黑客攻击,损失金额巨大。目前黑客地址0x75F2abA6a44580D7be2C4e42885D4a1917bFFD46在以太坊链上有3180个ETH价值4161559美元,在BSC Chain链上有49612个BNB,价值14011105美金和一些其他代币。攻击损失接近2100W。
  攻击分析
攻击发生在bsc。用户在用Transit Swap进行兑换时,会有一个入口合约(0x8785bb8deae13783b24d7afe250d42ea7d7e9d72),这个入口合约会根据代币的种类选择路径,最后0x0B47275E0Fe7D5054373778960c99FD24F59ff52这个合约会调用0xed1afc8c4604958c2f38a3408fa63b32e737c428这个合约的claimtokens进行转账。



看上图,前面几次调用都是在查余额和查指定的合约有没有调用transferfrom的权限。
从调用0x8785bb8deae13783b24d7afe250d42ea7d7e9d72这个合约开始,这个合约相当于闪兑的入口,接下来调用0x0b47275e0fe7d5054373778960c99fd24f59ff52的callBytes(bytes)函数,这个地方的数据已经是恶意数据了。然后调用0x75fa557bb38daa465f06f5e605e46abe0d5ce9ec这个合约的getFeeRate(address,uint256,uint256,string),查费率。最后调用0xed1afc8c4604958c2f38a3408fa63b32e737c428合约的claimTokens(address,address,address,uint256),这个函数先授权0xed1afc8c4604958c2f38a3408fa63b32e737c428,然后再调用进行转账(应该是函数内部有不同的分支)。授权calldata看下图:



看调用栈,此时transferfrom已经是0xed1afc8c4604958c2f38a3408fa63b32e737c428,有权限调用transferfrom给黑客地址转钱。
参考tx:
0x181a7882aac0eab1036eedba25bc95a16e10f61b5df2e99d240a16c334b9b189
  最后
Erc20协议中,approve授权一直是个问题,已经发生了多起安全事件,同时在跨合约的函数调用时,通过上层调用透传到下层的数据需要谨慎,首先下层对上层给的返回值一定要是不信任的,需要经过正确的校验。熊市,黑客事件频发,各位用户多注意。
目前Transit Swap已经暂停了所有合约交易功能并在努力追踪黑客信息,希望能挽回本次攻击的损失。NUMEN实验室建议使用过Transit Swap去revoke.cash取消合约授权并且将自己的资金提走。

因攻击的进步,攻击不会倒致造成灭亡的时候。

因攻击的规范,每一次攻击都成就法条的设立点。

相关文章

  • 265天--有关晨读直播的补充 2022-10-02

    265天--有关晨读直播的补充 2022-10-02 今天内容就是晚上开会的补充内容吧,也是接地气的记录。 各位盟...

  • 2022-10-02【日精进第14天】

    2022-10-02【日精进第14天】 姓名:李庆 单位:郑州鹿野苑餐饮管理有限公司(朵家甜品厨房) 每日定课(根...

  • 0335| 老子+五尺天涯

    2022-10-02 北京 小雨 有雾 道德经读书会 电影《五尺天涯 》 插曲一早上8点半才匆匆出门,结果发现手机...

  • 五绝·宏村南湖

    宏村南湖 (五绝) 2022-10-02 通孔月波汇,中堤云水分。 屏村崇六院,集泮益温文。 *六院:南湖书院。

  • 姐姐

    2022-10-02 心心38℃,我不敢睡。 记我大丫头两句话。 1 晚上农夫带念念在省中医院挂水,我怕农夫吃不消...

  • 2022-10-02

    今日体验,晚上和店里的兄弟们一起聚聚,聊聊天,都非常的放松,在外的每个节日,我们都相互陪伴,更要倍加珍惜在一起的日...

  • 2022-10-02

    十七度,但是很热。 有点难受,特别想吐。 头很晕,浑身都疼。

  • 2022-10-02

    感恩!六点签到 人生所有的苦难也无非是两种:肉体上的病痛和精神上的焦虑。 追根溯源,往往是由某些违反自然法则的行为...

  • 2022-10-02

    20221002 一切文明进程都是我们跟自然的衔接关系,以及我们自身的生存内在要求,构成文明起源的节点。 把这种外...

  • 2022-10-02

    一觉醒来,猛然想起,昨天竟然忘了日更,心里拔凉拔凉的。好不容易200天了,忘能犯了这么低级的错误!又不是没水更过!...

网友评论

      本文标题:2022-10-02

      本文链接:https://www.haomeiwen.com/subject/ovbsartx.html