STA:漏洞早已存在數月？Temple DAO遭受攻擊損失230萬美元事件分析

北京時間2022年10月11日21:11:11，CertiKSkynet天網檢測到項目TempleDAO遭到黑客攻擊，損失約230萬美元。攻擊發生的主要原因是migrateStake函數沒有檢查輸入的oldStaking參數。

攻擊步驟

①?攻擊者調用migrateStake()函數，傳入的oldStaking參數為0x9bdb...，這導致被攻擊的合約將里面的LP代幣轉移到了攻擊者的合約中。

BlockchainSpace與ImmuneFi合作推出漏洞賞金計劃:1月2日消息，P2E游戲公會BlockchainSpace與ImmuneFi合作推出智能合約和區塊鏈漏洞賞金計劃，獎勵最高可達5萬美元。[2022/1/2 8:20:33]

慢霧：警惕高危Apache Log4j2遠程代碼執行漏洞:據慢霧安全情報，在12月9日晚間出現了Apache Log4j2 遠程代碼執行漏洞攻擊代碼。該漏洞利用無需特殊配置，經多方驗證，Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影響。Apache Log4j2是一款流行的Java日志框架，建議廣大交易所、錢包、DeFi項目方抓緊自查是否受漏洞影響，并盡快升級新版本。[2021/12/10 7:30:00]

②攻擊者提取了StaxFrax/TempleLP代幣，并將FRAX和TEMPLE代幣USDC最終兌換為WETH。

動態 | 幣安臨時維護 市場傳言異常交易或與Syscoin漏洞有關:幣安交易所將進行臨時維護，隨后有市場傳言稱幣安可能遭受了攻擊。Syscoin的區塊鏈監測數據顯示，超過10億枚 Syscoin是在區塊87670挖掘出來的。這種情況十分異常，因為 syscoin的總供給量應該是8.88億，而這明顯低于87670區塊中的挖掘數量。

之前幣安平臺上曾出現以一枚SYS購買了96枚 BTC的交易。幣安上的高額訂單或是導致 Syscoin的價格暴漲的原因。

幣安創始人何一早間在‘幣安官方中文群’回應該傳言：“...不少平臺都遇到類似的問題，好處是至少幣安有自動風控。”[2018/7/4]

漏洞分析

導致TempleDAO漏洞的原因是StaxLPStaking合約中的migrateStake函數沒有檢查輸入的oldStaking參數。

因此，攻擊者可以偽造oldStaking合約，任意增加余額。

資金去向

以太坊上的321,154.87StaxFrax/TempleLP代幣后來被交易為1,830.12WETH(約230萬美元)。

寫在最后

自6月初該合約被部署以來，導致此次事件發生的漏洞已經存在了數月。這是一種智能合約邏輯錯誤，也應該在審計中被發現。

攻擊發生后，CertiK的推特預警賬號以及官方預警系統已于第一時間發布了消息。同時，CertiK也會在未來持續于官方公眾號發布與項目預警相關的信息。

Tags：STAPACSTAKCHEbitstamp交易平臺盈利需要交稅么SPACEDOGE幣staking幣圈CHEEL幣

火必APP