GYM:小缺陷大損失 ，GYM Network何至于此 ？-ODAILY

前言

北京時間2022年6月8日，知道創宇區塊鏈安全實驗室自動數據監測工具監測到BSC鏈上NFT項目GYMNetwork因"PublicdepositFromOtherContract"權限控制問題被攻擊，損失包括7475枚BNB，共計約216W美元，目前已將兌通過DEX換70W美元的ETH通過Celer跨鏈到以太坊，2000枚BNB利用BSC-Tornado進行混幣，余下3000枚BNB在攻擊者地址。

知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。

基礎信息

被攻擊合約：0x0288fba0bf19072d30490a0f3c81cd9b0634258a

火必與新火科技旗下MPC自托管平臺達成OpenLoop清結算網絡合作:4月14日消息，新火科技控股有限公司（1611.HK）旗下MPC自托管平臺宣布正式與加密資產交易平臺火必Huobi達成Openloop清結算網絡合作，通過此次合作，將有效幫助用戶實現資金安全托管與交易行為分離，使得用戶自有資金可以在不離開自托管賬戶的情況下完成交易，提升用戶資產安全。

據悉，雙方此次合作將進一步加速推動數字資產安全領域的發展。[2023/4/14 14:04:56]

攻擊者地址：0xB2C035eee03b821cBe78644E5dA8B8eaA711D2e5

攻擊合約：0xcD337b920678cF35143322Ab31ab8977C3463a45、0x68b5f1635522ec0e3402b7e2446e985958777c22

Level Finance社區投票決定向DAO轉移2億美元LVL代幣:金色財經報道，去中心化加密衍生品交易所Level Finance社區正在投票決定將超過2億美元的原生LVL代幣轉移到其DAO，該提案于周四開始，定于周五結束，已經獲得了100%的贊成票。[2023/3/30 13:35:35]

tx：0xfffd3aca0f53715f4c76c4ff1417ec8e8d00928fe0dbc20c89d875a893c29d89

GymSinglePool代理合約:0xa8987285e100a8b557f06a7889f79e0064b359f2

漏洞分析

項目方在GymSinglePool合約中實現過程中對于0x0288fba0bf19072d30490a0f3c81cd9b0634258a#depositFromOtherContract函數缺少了權限控制，導致攻擊者能夠通過該函數調用內部_autoDeposit函數實現零消耗質押：

Arthur Hayes地址收到超過34.1萬枚BLUR:金色財經報道，派盾監測數據顯示，標記為Arthur Hayes的地址收到0x62ac開頭地址發送的超過34.1萬枚BLUR。[2023/2/16 12:10:29]

對于應該開放給用戶的質押內部函數是_deposit函數，該函數實現了對于token的審批傳入，如下圖所示：

對應的_autoDeposit函數則實現了"特權"質押，即不需要轉入Token進行質押。同時該函數直接暴露給了用戶，函數對比如下：

Web3視頻平臺Shibuya：下一部視頻的每一個場景，將由NFT持有者決定:金色財經報道，Web3視頻平臺Shibuya宣布，其下一部網絡視頻“Dominion X”的每一個場景都將由NFT持有者決定，為期六周。

每周，NFT持有者都可以投票決定每個新場景的結局，然后制片人就會據此進行拍攝。所有這些加起來將成為一個定格動畫短片，任何人都可以通過Shibuya平臺觀看，但只有NFT持有者才能在制作過程中投票。這些持有者還將根據他們在這一過程中的參與程度，獲得不同稀有等級的NFT獎勵。

對于Shibuya來說，“Dominion X”標志著自2022年3月該平臺首次亮相以來的第二個IP發布，也是第一個外部開發的IP。

此前消息，Shibuya宣布完成690萬美元融資，a16z Crypto和Variant聯合領投，帕麗斯·希爾頓和NBA球星凱文·杜蘭特等名人、阿里巴巴聯合創始人蔡崇信、DeFi交易平臺Aave創始人Stani Kulechov等參投。[2023/2/2 11:41:58]

Fabric Ventures完成1.4億美元的風投基金募資，Polkadot、Zerion等參投:6月1日消息，Fabric Ventures宣布完成了一支規模為1.4億美元的風投基金募資，此外，其首次推出的全新Web3增長基金Growth Fund 也完成了1億美元融資，該基金將支持 Web3 領域里的創業者，幫助他們進行業務擴張和發展。

最新募集的1.4億美元風投基金參投方包括：Apeiron、Andre Schurrle、Dragan Solak（企業家、United Group 創始人兼顧問委員會主席）、Polkadot、Zerion、Eventbrite、Matrix Partners China 創始人、European Investment Fund、 Atomico、Galaxy Digital、DCG，以及以太坊創始人、Wise 創始人和 MySQL 創始人等。

最新的Web 3增長基金的投資方包括：Raisin聯合創始人、Open Ocean普通合伙人、Felix Capital和Claret Capital、以及US fund-of-fund Blockchain聯合投資方，該增長基金此前曾投資過DeFi和Web3應用Argent、NEAR Protocol、Immutable等。[2022/6/1 3:56:29]

攻擊流程

攻擊者為了防止鏈上MEV和搶跑機器人，將合約進行了分步部署執行，同時部署/調用了多次以完成對GymNetwork合約(0x3a0d9d7764FAE860A659eb96A500F1323b411e68)中的GYMNETToken完全抽離，以其中一筆部署調用為例：

1.部署合約后調用depositFromOtherContract實"特權"質押，對應0xfd4a2266方法：

內部調用細節如下:

2.調用0x30649e15實現對上一步特權質押的Token回撤：

3.利用0x1d111d13函數售出獲取到的的GYM-Token：

重復多次"特權"質押--回撤--售出步驟，攻擊者最終獲取到7475枚BNB:

為了抑制搶跑，攻擊者將添加質押和回撤進行了步驟分離，兩個步驟均為核心操作，同時刻意提高添加部分步驟的GasPrice為15/20gwei,可見攻擊者是有意為之。

溯源處置

本次攻擊原因是項目方實現的特權函數權限控制不當，在攻擊發現的1小時后項目方將GymSinglePool代理合約的邏輯合約進行了多次修改，為其添加了權限控制：

并在20分鐘后對邏輯合約添加了緊急賬戶處置函數：

而對于項目方Deployer地址分析，其部署的多個GymSinglePool合約根據追蹤僅在兩天前部署的GymSinglePool合約中存在漏洞，4天前的合約則不存在此函數：

同時代理合約對應的邏輯合約被升級為漏洞合約的事件發生在在2days13hrsago：

攻擊者的資金準備(FromTornado)則在約6小時以前，攻擊者的身份也值得令人深思。

總結

雖然只是一處小的控制缺陷，卻導致了數百萬美元的損失。項目方的處置雖較為及時，漏洞導致的損失卻難以挽回。該類型漏洞在審計過程中很容易被發現并將歸納到邏輯缺陷/不安全的外部調用，各項目方在開發和審計流程上切莫大意。

Tags：GYMQUODEPWEBGYM幣Quoll FinanceDEPOweb3域名值錢嗎

Coinw