CRE:Creat future慘遭隨意轉移幣，幕后黑手究竟是誰？

前言

CF代幣合約被發現存在漏洞，它允許任何人轉移他人的CF余額。到目前為止，損失約為190萬美元，而pancakeswap上CF/USDT交易對已經受到影響。知道創宇區塊鏈安全實驗室第一時間對本次事件深入跟蹤并進行分析。

事件詳情

元宇宙項目Creatora完成1000萬美元A輪融資，a16z領投:1月16日消息，元宇宙項目Creatora完成1000萬美元A輪融資，a16z領投，該筆資金致力于打造以Z世代為中心的元宇宙平臺。據悉，Creatora是一個用戶生成內容(UGC)元節引擎，使創作者能夠創建、分發和MetaFi游戲。

Creatora為用戶提供獨有的加密原生自治世界，其功能包括交叉播放和即時訪問。此外，平臺內所有建立在土地上的東西都是可交易的。這包括模型、游戲、API等。[2023/1/16 11:13:56]

受影響的合約地址

算法匯率協議Increment宣布將基于zkSync 2.0構建:2月24消息，算法匯率協議 Increment 宣布將基于 zkSync 2.0 構建。Increment 團隊表示 zkSync 2.0 是最適合該協議的基礎設施，同時未來也會考慮進行多鏈部署。目前 Increment 協議已進入測試網發布和審計準備階段。[2022/2/24 10:12:46]

https://bscscan

Cream Finance稱閃電貸攻擊共導致3400萬美元的AMP和ETH被盜，會分配協議費用的20%用于償還:9月1日消息，抵押借貸平臺Cream Finance在發布的閃電貸攻擊事后分析報告中表示，漏掉導致共4.6億枚AMP代幣和2804枚ETH（當時價值約合3400萬美元）被盜，并承諾將所有協議費用的20%用于償還，直至全部償還。此次安全事件有一個主要的漏洞攻擊者和一個模仿者。Cream Finance會將所有相關信息轉交執法機關，并在法律允許的范圍內進行起訴。

Cream Finance稱，在PeckShield的幫助下，確定了漏掉被利用的根本原因是Cream Finance將AMP集成到其協議中的方式存在錯誤。目前，Cream Finance已暫停了AMP借貸服務，并正在與審計員和技術顧問合作，已確保防范類似攻擊。[2021/9/1 22:51:45]

uint256fee=0;..

_transfer()函數是直接轉移代幣transfer()和授權轉移代幣transferFrom()的具體實現，但該函數的修飾器是public，因此任何人都可以不通過transfer()或transferFrom()函數直接調用它。而當變量useWhiteListSwith設置為False時，該函數不會檢查調用地址和傳輸地址是否合規，直接將代幣轉移到指定地址。

在區塊高度為16841993時，管理員就把useWhiteListSwith設置為False：

此時開始有攻擊者利用_transfer()函數直接轉移代幣：

總結

經過完整分析，知道創宇區塊鏈安全實驗室明確了該次事件的源頭由函數本身權限出現問題，而管理員同時操作不慎關閉了白名單檢測，兩方結合導致攻擊者可以實現轉移任意錢包代幣的操作。

在核心函數上我們一直建議使用最小權限原則，像這次的_transfer()函數本不該用public修飾器，使得transferFrom()函數檢查授權額度的功能形同虛設；而合約管理者也不該隨意修改關鍵變量值，導致攻擊者可以繞過白名單檢查的最后一道防線。

合約不僅僅是代碼層面的安全，不光需要白盒代碼審計，更需要合約管理員共同合理維護。

Tags：CREREACREAFERDatarius CreditREAPERcream幣還有價值嗎REFER幣

以太坊價格今日行情