Hundred 与 Agave 闪电贷攻击事件分析

1.前言

北京时间 3 月 15 日晚,知道创宇区块链安全实验室 监测到 Gnosis 链上的借贷类协议 Hundred Finance 与 Agave 均遭遇了闪电贷袭击,包括 AAVE 的分支 Agave 和 Compound 的分支 Hundred Finance 。协议损失超 1100 万美元。目前 项目方已暂停其数百个市场。

知道创宇区块链安全实验室 第一时间跟踪本次事件并分析。

Hundred Finance被攻击 tx:

0x534b84f657883ddc1b66a314e8b392feb35024afdec61dfe8e7c510cfac1a098

攻击合约:0xdbf225e3d626ec31f502d435b0f72d82b08e1bdd

攻击地址: 0xd041ad9aae5cf96b21c3ffcb303a0cb80779e358

攻击后跨链匿名化:https://etherscan.io/txs?a=0xd041ad9aae5cf96b21c3ffcb303a0cb80779e358

Agave被攻击tx:

Pledge与247pro达成合作,允许客户使用加密资产支付家居装修项目:加密资产借贷平台Pledge宣布与247pro达成合作协议。247pro是一家建筑评估和管理平台,拥有数百名付费客户。据Pledge称,合作协议将允许其客户利用加密资产作为抵押,为他们的家居装修项目提供资金。(PRWeb)[2021/8/15 22:15:26]

0xa262141abcf7c127b88b4042aee8bf601f4f3372c9471dbd75cb54e76524f18e

攻击合约:0xF98169301B06e906AF7f9b719204AA10D1F160d6

攻击地址: 0x0a16a85be44627c10cee75db06b169c7bc76de2c

攻击后跨链匿名化:https://etherscan.io/txs?a=0x0a16a85be44627c10cee75db06b169c7bc76de2c

由于 Hundred Finance 与 Agave 攻击流程与手法类似,因此我们使用 Hundred Finance 进行分析。

Hundred Finance 攻击调用流程

1、攻击者利用合约在三个池子中利用闪电贷借出 WXDAI 和 USDC

2、在 WETH 池子质押借出的部分 USDC

3、利用重入利用一笔质押,超额借出池子中资金

4、重复质押-重入借出步骤,将其他两个池子资产超额借出

5、归还闪电贷

6、获利转移

导致本次问题的根本原因是由于在 Gnosis 链上的官方桥接代币 xDAI 合约中实现了一个对于 to 地址的回调( callAfterTransfer 函数)

合约实现地址:

https://blockscout.com/xdai/mainnet/address/0xf8D1677c8a0c961938bf2f9aDc3F3CFDA759A9d9/contracts

该回调将直接导致重入漏洞的产生,同时由于在 Hundred Finance 团队 fork 的 Compound 版本中没有严格遵循检查-生效-交互(防止重入的另一种方式),进而导致了总借贷量更新晚于重入实现。最终攻击者得以超额借贷。

类似的,对于 Agave 项目方,攻击者利用 liquidateCall 函数内部调用会调用 xDAI 的 callAfterTransfer 方法进行回调,最终导致攻击者能再次进行借贷。

在 Hundred Finance 攻击中攻击者重入的调用路径如下:

在 Agave 攻击中攻击者回调路径(调用 liquidateCall 时内部调用时回调)如下:

此次遭受攻击的两个借贷项目由于错误的引入了存在重入的 token,同时项目方的 fork 的代码没有采用检查-生效-交互模式导致了问题的发生。

我们强调:对于一个优秀的项目的引用必须建立在足够的理解和严谨的开发上,尤其是存在差异化的部分,切忌顾此失彼最终因为一个小的差错导致项目全部的损失。

近期,各类合约漏洞安全事件频发,合约审计、风控措施、应急计划等都有必要切实落实。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

链链资讯

币安app下载鲸探永久封禁真的来了

昨日,我们在推文就重点关注了鲸探3月19日更新的《蚂蚁链数字藏品平台用户服务协议》(以下简称“用户协议”),新用户协议明显加强了对违规行为的打击力度,同时也加重了相应的处罚力度。 在新用户协议中,鲸探大幅提高了对于违规行为用户的处罚上限,最严重的违规行为可处以“永久封禁账户”的处罚。 该用户协议更新不过两日之后,就有不少人在社群中表示受到了“极刑”。

区块链金色Web3.0日报 | Li.Finance:约60万美元从29个钱包中被盗

1.DeFi代币总市值:1158.75亿美元DeFi总市值 数据来源:coingecko 2.过去24小时去中心化交易所的交易量:51.39亿美元过去24小时去中心化交易所的交易量 数据来源:coingecko 3.DeFi中锁定资产:2041.3亿美元DeFi项目锁定资产前十排名及锁仓量 数据来源:defillama 1.NFT总市值:391。

XMR链游板块融资火热 市场拐点已到?

现货观点本周BTC整体筑底向上。技术层面,市场出现以往熊市后期趋势相似的特征,判断处于周线级别调整末期,后期反弹可能性较大。BTC这轮调整约130天,从历史高点回调约50%,但仍然跑赢90%的山寨币。宏观上加息符合市场预期。美联储将基准利率提高25个基点至0.25%至0.50%,预计2022年还将加息6次,最快在5月份公布缩表计划。

瑞波币浅聊DAO图景和未来

DAO (Decentralized Autonomous Organizations),去中心化自治组织,是基于区块链技术,由社区通过透明的决策过程运行和管理的组织形态。 DAO使得社区成为价值的创造者,也成为价值的分享者。 去中心化和基于智能合约的区块链是DAO的两大重要特征。

[0:3ms0-3:731ms