ISR:損失約820萬美元 Visor Finance遭黑客攻擊事件全解析

12月21日，鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，UniswapV3流動性管理協議VisorFinance于北京時間12月21日晚上10點18分遭受攻擊，總損失約為820萬美元。關于本次攻擊，成都鏈安技術團隊第一時間進行了事件分析。

#1事件概覽

2021年12月21日晚VisorFinance官方Twiiter發布通告稱vVISR質押合約存在漏洞，發文前已有攻擊交易上鏈。

經過成都鏈安技術團隊分析，攻擊者通過惡意合約利用VisorFinance項目的漏洞，偽造了向VisorFinance的抵押挖礦合約(0xc9f27a50f82571c1c8423a42970613b8dbda14ef)存入2億代幣的交易，從而獲取了195,249,950vVISR抵押憑證代幣。然后再利用抵押憑證，從抵押挖礦合約中取出了8,812,958VISR。

加拿大要求養老基金披露加密風險:金色財經報道，加拿大政府表示，隨著渥太華加強對動蕩行業的監管，該國受聯邦監管的養老基金將需要向金融機構監管辦公室(OSFI)披露其加密資產敞口。政府在新的2023年預算計劃中表示：“為了幫助保護加拿大人的退休生活，2023年預算宣布政府將要求受聯邦監管的養老基金向OSFI披露其加密資產風險敞口。”預算計劃補充說，聯邦政府還將與各省和地區合作，討論該國最大的養老金計劃披露加密資產或相關活動的問題，這將確保加拿大人了解他們的養老金計劃可能接觸到加密資產。此舉是在FTX交易所等幾起備受矚目的破產案以及最近對加密貨幣友好的美國銀行Silvergate Bank和Signature Bank倒閉之后，暴露了投資者在該行業面臨的極端波動性。[2023/3/29 13:32:06]

#2事件具體分析

PeopleDAO與WTF Academy合作，在Goerli測試網上試用Soulbound協議:2月21日消息，PeopleDAO與Web3開源學習社區WTF Academy合作，在Goerli測試網上試用聲譽NFT協議Soulbound。用例類似于獲得課程學分。當WTF學院的學生完成課程后，他們將獲得不可轉讓的證書，即教育證明。

Soulbound選擇Goerli測試網對產品進行Beta測試，因為測試網是編碼人員用來開發和試用智能合約的以太坊區塊鏈的替代版本。一旦該項目從早期用戶那里獲得了足夠的反饋，下一步將部署到合適的以太坊L2網絡。[2023/2/21 12:19:31]

攻擊交易為：

知情人士：美國檢察官正審查美國對沖基金與幣安的交易:金色財經報道，據華盛頓郵報援引消息人士報道，美國西雅圖華盛頓西區檢察官辦公室正審查美國對沖基金與幣安的交易，指示對沖基金交出他們與幣安的通信記錄，法律專家說傳票之前沒有被報道過，并不一定意味著當局可能會提出指控。幣安首席戰略官Patrick Hillmann在接受采訪時表示，該公司每天都在與全球幾乎所有監管機構進行溝通，但拒絕就美國的任何調查情況置評。據路透社上個月報道，檢察官仍在討論與幣安達成和解的可能性，并權衡他們是否有足夠的證據對幣安提出起訴。[2023/1/8 11:00:25]

https://etherscan.io/tx/0x69272d8c84d67d1da2f6425b339192fa472898dce936f24818fda415c1c1ff3f

金華市：數字人民幣是金華全市深化金融改革的重要抓手:金色財經報道，金華市召開全市數字人民幣工作推進會，總結前一階段全市數字人民幣試點工作推進情況，研究部署推進下步工作。會議強調，數字人民幣作為數字金融時代重要的基礎設施，是金華全市深化金融改革的重要抓手，有利于穩企紓困、降本增效，實現穩市場、穩增長、穩預期的效果。4月2日，人民銀行總行公布新一批數字人民幣試點城市，金華市作為承辦2022年杭州亞運會的6個城市之一，納入新的數字人民幣試點測試地區。截至5月6日，金華市共開立數字人民幣對公錢包3.47萬個，個人錢包55.66萬個，累計交易筆數15.85萬筆，交易金額2392.91萬元，線下可受理商戶數2.44萬戶，走在浙江全省前列。（金華日報）[2022/5/16 3:19:31]

攻擊手法大致如下：

1.部署攻擊合約

0x10c509aa9ab291c76c45414e7cdbd375e1d5ace8；

2.通過攻擊合約調用VisorFinance項目的抵押挖礦合約deposit函數，并指定存入代幣數量visrDeposit為1億枚，from為攻擊合約，to為攻擊者地址

0x8efab89b497b887cdaa2fb08ff71e4b3827774b2；

3.在第53行，計算出抵押憑證shares的數量為97,624,975vVISR.

4.由于from是攻擊合約，deposit函數執行第56-59行的if分支，并調用攻擊合約的指定函數；

第57行，調用攻擊合約的owner函數，攻擊合約只要設置返回值為攻擊合約地址，就能夠通過第57行的檢查；

第58行，調用攻擊合約的delegatedTransferERC20函數，這里攻擊合約進行了重入，再次調用抵押挖礦合約的deposit函數，參數不變，因此抵押挖礦合約再次執行第3步的過程；

第二次執行到第58行時，攻擊合約直接不做任何操作；

5.由于重入，抵押挖礦合約向攻擊者發放了兩次數量為97,624,975vVISR的抵押憑證，總共的抵押憑據數量為195,249,950vVISR。

6.提現

攻擊者通過一筆withdraw交易

，將195,249,950vVISR兌換為8,812,958VISR，當時抵押挖礦合約中共有9,219,200VISR。

7.通過UniswapV2，攻擊者將5,200,000VISR兌換為了WETH，兌換操作將UniswapV2中ETH/VISR交易對的ETH流動性幾乎全部兌空，隨后攻擊者將獲得的133ETH發送到Tornado。

#3事件復盤

本次攻擊利用了VisorFinance項目抵押挖礦合約RewardsHypervisor的兩個漏洞：

1.call調用未對目標合約進行限制，攻擊者可以調用任意合約，并接管了抵押挖礦合約的執行流程；<-主要漏洞，造成本次攻擊的根本原因。

2.函數未做防重入攻擊；<-次要漏洞，導致了抵押憑證數量計算錯誤，不是本次攻擊的主要利用點，不過也可憑此漏洞單獨發起攻擊。

針對這兩個問題，成都鏈安在此建議開發者應做好下面兩方面防護措施：

1.進行外部合約調用時，建議增加白名單，禁止任意的合約調用，特別是能夠控制合約執行流程的關鍵合約調用；

2.函數做好防重入，推薦使用openzeppelin的ReentrancyGuard合約。

來源：金色財經

Tags：ISRVISRANCSORVISR幣VISR價格deCraft FinanceVisor

酷幣交易所