隨著區塊鏈技術的發展及各類新增長的出現,加密貨幣生態系統隨之產生了更多的安全風險及復雜性。
2021年攻擊全景詳見,歡迎點擊文章底部“閱讀原文”獲取安全報告下載鏈接。
在2021年的基礎上,2022年的攻擊賽道又出現了一位“強力選手”。
跨鏈橋作為新的攻擊載體,安全性方面的發展尚未成熟。因此,跨鏈橋也是所有項目以及開發人員應該提高警惕的領域之一。
2022年的春節假期尚未結束時,跨鏈橋即發生了兩起重大攻擊,算上春節前的另一起同類事件,短短10天內的三起攻擊事件使得黑客在跨鏈橋方面取得了“傲人”成績。
在對這幾起事件進行了解之前,我們需要先知道什么是跨鏈橋以及它的原理。
數據:Blur過去一周以太坊鏈上交易額達4.6億美元,超越OpenSea排名周交易榜第一:金色財經報道,根據DappRadar的數據,Blur 過去7天內產生了價值4.6億美元的以太坊NFT交易,環比增長361%。與此同時,OpenSea的交易量在此期間增長了12%,達到1.07億美元,第三名的NFT市場是X2Y2,同期交易額僅為1100萬美元。另據CryptoSlam數據顯示,Blur推動以太坊鏈上NFT總交易額單周增長155%,過去一周交易量最大的 NFT 項目(全市場)是Yuga Labs元宇宙游戲 Otherside中的NFT地塊,產生了約6300萬美元的交易,周環比增長318%。(decrypt)[2023/2/21 12:18:37]
用一個相對簡單的描述:bridge可將資產從一個區塊鏈轉移到另一個區塊鏈。
韓國加密交易所Gopax的理財產品GOFi受Genesis影響延遲還本付息:11月17日消息,據官方公告,韓國加密交易所Gopax宣布,因其加密理財產品GOFi受合作伙伴Genesis暫停贖回的影響,GOFi目前延遲還本付息。Gopax表示:“我們已要求Genesis償還所有資產,以保護客戶的資產免受Genesis的損害,但還款尚未進行。”不過,Gopax稱非GOFi客戶資產沒有影響,因為該平臺的資產和GOFi產品的資產分開保管,Gopax存取款不受影響。
據悉,DCG是Gopax的第二大股東。此前昨日消息,Genesis加密貨幣借貸部門暫停客戶贖回和新貸款發放。[2022/11/17 13:17:05]
在最近的三起事件中,攻擊者注入欺騙性數據,繞過驗證,將目標鏈上的相應代幣提取到指定地址。
惠譽:缺乏監管限制美國銀行業參與加密貨幣領域:金色財經報道,惠譽:缺乏監管限制美國銀行業參與加密貨幣領域。聯邦層面的銀行和數字資產立法框架需要通過美國國會批準。在形成全面、理想的全球性加密監管框架之前,美國銀行業可能會謹慎行事。(金十)[2022/10/27 11:46:00]
QubitBridge漏洞事件
攻擊者偽造數據繞過bridge合約的數據真實性檢查,在沒有提供任何加密貨幣的情況下使bridge合約產生了攻擊者已存款的虛假時間證明。
其根本原因在于ETH和ERC-20的存款共享相同的事件證明。這允許攻擊者調用該函數利用不存在的ERC20存款事實生成虛假的ETH存款事件證明,并以此在另一條鏈上提取ETH。
Nic Carter:白宮關于加密挖礦氣候影響的報告存在九大錯誤:9月19日消息,CoinMetrics聯合創始人Nic Carter近日發文指出,白宮科技政策辦公室(OSTP)發布的研究報告《美國加密資產的氣候和能源影響》存在9個關鍵錯誤,具體如下:幾乎沒有新數據;忽略業內專家的貢獻;依賴De Vries/Digiconomist相關文章;依賴Gallersd?rfer、Klaa?en和Stoll相關文章;
引用Mora等人2018年發表的垃圾論文;在自己輕率使用數據的同時,敦促謹慎使用數據;對使用可再生能源的礦工所做的努力置若罔聞;拒絕預測比特幣的能源消耗軌跡。提出愚蠢且適得其反的建議。[2022/9/19 7:06:49]
在這種情況下合約中的漏洞被觸發——當代幣地址是EOA時,“safeTransferFrom”函數不會回退。因此,攻擊者在沒有向合約發送任何代幣的情況下獲取了證明。
事件詳細分析請戳:https://certik.medium.com/qubit-bridge-collapse-exploited-to-the-tune-of-80-million-a7ab9068e1a0
MeterBridge漏洞事件
該漏洞與Qubitbridge漏洞很相似——攻擊者避過bridge合約向bridge提供不存在的代幣證明從而跳過了驗證過程,從而可以在另一個鏈上提取代幣。
Bridge合約提供了兩個方法:deposit和depositETH。然而,這兩個方法產生了相同的存款事件證明,并且deposit函數并沒有阻止WETH/WBNB的存款交易,也沒有銷毀或鎖定WETH/WBNB。
黑客通過使用deposit,在沒有任何真實存款的情況下使bridge合約產生了虛假的WETH/WBNB存款事件證明。
該事件分析內容詳見CertiK公眾號。
Solana跨鏈橋蟲洞事件
Solana蟲洞的漏洞事件中,攻擊者通過向指令注入一個惡意的“sysvaraccount”來繞過“verifysignature”,并偽造了一個鑄造Wormhole-wrappedEther的消息。
這個漏洞的根本原因是在驗證簽名過程中,程序使用了一個在Solana更新至1.8.0時即被廢棄的“load_current_index”函數。該函數不會驗證輸入的“sysvaraccount”是否真的是“systemsysvar”,從而攻擊者可以趁機偽造這個關鍵帳戶。
此后,攻擊者利用此偽造的賬戶生成了虛假的鑄幣信息,然后根據得到的鑄幣在目標鏈上提取了相應真實代幣。
該事件分析內容詳見CertiK公眾號。
三起“炸橋案”總結
Qubit以及Meter.io的bridge代碼未能處理臨界情況,也就是說,合約的ERC20存款功能可以用來生成虛假的ETH/BNB存款事件證明,而后者成為了目標鏈上提取真實ETH/BNB的憑證。
Wormholebridge則是其合約未驗證調用者注入的“sysvaraccount”,從而產生了虛假的鑄幣信息。
總而言之,上述三起事件都是由于驗證過程的缺陷而造成的。
如何應對該類漏洞?
在上述攻擊中,我們可以吸取到一些關鍵教訓:
1.對于不同的功能,比如ERC20的存款和ETH/BNB的存款,合約應產生不同的事件證明。
2.始終記得驗證用戶注入的輸入。
3.密切關注近期漏洞事件,并檢查其他項目是否存在類似情況。
4.需要對每個bridge的核心合約進行相應審計。
除此之外,當該漏洞發生后,我們應該:
1.停止中繼消息層并暫停代幣傳輸,bridge合約也應暫停所有充提幣功能。
2.立即通知社區、交易所和平臺合作伙伴,監控資金流向。
3.建立與權威安全專家們的溝通渠道,進行有效的討論和信息共享。
4.識別、驗證和修復漏洞。及時測試以確保現有的漏洞得到解決以及未產生新的漏洞,同時對bridge合約進行升級。
5.評估損失,并與社區就被利用的資產數量、可追回的資產以及補償計劃進行坦誠地溝通
Tags:DGEBRIBRIDGEIDGworld bridge coinFABRICPolkaBridgeMIDGET
尊敬的歐易OKEx用戶:歐易OKEx上線SymbiosisFinance(SIS),具體時間如下:1.SIS充值:12月16日15:00?(HKT)DreamVerse 即將上線歐易NFT市場.
1900/1/1 0:00:00韓國總統競選活動支持加密貨幣加密風險投資公司Hash平臺負責人EdwardHong表示,韓國三大加密交易所共有超過500萬個個人加密賬戶.
1900/1/1 0:00:00TheLockALPH&Earn#2(term14days)willlaunchat8:00UTConFeb16atGate.io''s“HODL&Earn”section.
1900/1/1 0:00:00尊敬的XT.COM用戶:XT.COM作為致力於為全球優質的數字資產提供優質服務的交易平臺。平臺會定期對已上線的幣種進行綜合性審核,以確保平臺幣種的高水準交易.
1900/1/1 0:00:00親愛的用戶:幣安「定投計劃」現已新增ALGO。現階段,用戶可以從現有加密貨幣中進行選擇,借助成本平均法策略進行投資.
1900/1/1 0:00:00isaspecialeventthatwillbeheldeveryMondayfromMarch8.
1900/1/1 0:00:00