区块见闻 区块见闻
Ctrl+D收藏区块见闻
首页 > Filecoin > 正文

POS:Paraluni攻击事件分析-ODAILY_posi币行情

作者:

时间:

1.前言

北京时间2022年03月13日,知道创宇区块链安全实验室监测到BSC上Paraluni项目遭到攻击,黑客获利约170万美金。知道创宇区块链安全实验室将对本次事件深入跟踪并进行分析。

2.分析

2.1基础信息

攻击者地址:0x94bc1d555e63eea23fe7fdbf937ef3f9ac5fcf8f

攻击者合约:0x4770b5cb9d51ecb7ad5b14f0d4f2cee8e5563645

攻击交易哈希:0x70f367b9420ac2654a5223cc311c7f9c361736a39fd4e7dff9ed1b85bab7ad54

Masterchef合约:0xa386f30853a7eb7e6a25ec8389337a5c6973421d

UBT代币合约:0xca2ca459ec6e4f58ad88aeb7285d2e41747b9134

UGT代币合约:0xbc5db89ce5ab8035a71c6cd1cd0f0721ad28b508

2.2项目背景

Paraluni项目是新加坡ParallelUniverse基金会发布的一个基于币安智能链的匿名项目,用户可以通过与masterChef合约交互进行质押代币获取流动性收益。

2.3攻击流程

为了使得攻击流程更加清晰,我们将本次攻击分为两个阶段进行分析。

预攻击阶段

1.攻击者创建部署两个代币合约UBT和UGT。UBT:改写transferFrom函数,实现对MasterChef的deposit()函数和withdrawAsset()函数的调用。UGT:ERC20代币标准的代币合约2.攻击者使用闪电贷从pancakeSwap借出156,984BSC-USD和157,210BUSD。3.将借出的USDT和BUSD向对应的ParaPair添加流动性,获得155,935枚ParaluniLP代币到UBT合约中。此时获取的Lp代币为后续的攻击提供重要支持。

核心攻击阶段

1.调用MasterChef合约中的depositByAddLiquidity函数,传入参数为_pid:18,_token:,_amounts:,表示向18号池子添加1个UGT和1个UBT的流动性。

2.然后内部调用depositByAddLiquidityInternal函数,该函数的主要作用是调用addLiquidityInternal函数去铸造LP代币,然后调用_deposit函数存入LP代币到用户地址。但是函数并未校验用户传入的_tokens和池子编号为_pid的tokens是否匹配,这就造成攻击者能够利用自己创建部署的恶意代币进行后面重要操作。

3.depositByAddLiquidityInternal再内部调用addLiquidityInternal函数,该函数通过合约中LP代币余额变化计算出需要deposit的数量。

4.其中当addLiquidityInternal函数调用到paraRouter.addLiquidity时,会调用攻击者在预攻击阶段部署的UBT代币合约中的transferFrom函数完成添加流动性操作。

但该恶意合约改写transferFrom后会调用MasterChef的deposit()函数将预攻击阶段第三步获取的LP代币转入masterChef中,此时的masterChef中LP余额已经变化,然后会调用_deposit函数存入LP代币到用户地址,此时获取第一份LP代币。

然后加上恶意合约的transferFrom调用deposit()时也会调用_deposit函数存入LP代币到用户地址,就相当于获取了两份LP代币。

5.攻击者分别调用UBT合约中的withdrawAsset函数和利用攻击合约调用Mastechef合约中的withdraw函数提取两份相同的LP到攻击合约中;

6.最后移除流动性获取31万枚BSC-USD和31万枚BUSD,然后归还闪电贷完成攻击。

3.漏洞核心

本次的攻击主要是MasterCheif合约中的depositByAddLiquidity函数并未校验用户传入的_tokens和池子编号为_pid的tokens是否一致,且外部调用时并未考虑到重入问题添加重入锁,最终导致攻击者能够传入外部恶意代币合约进行重入攻击。

4.总结

知道创宇区块链安全实验室在此提醒,任何有关deposit等操作都需要慎重考虑,合约审计、风控措施、应急计划等都有必要切实落实。

标签:TERMOSDEPPOSSplinterlandsMOST价格dep币最新消息posi币行情

Filecoin热门资讯
PUNKS:How to NFT 5:收藏品-ODAILY_ASH

收藏品一直是一个独特的资产类别。人们收集各种各样的东西,如贝壳、邮票、卡片、冰箱磁贴等,作为一种爱好,甚至是为了炫耀。大多数时候,这种收藏品的价值是高度投机的.

BRIDGE:危险的授权转账,Li.Finance攻击事件始末-ODAILY_Brise Paradise

一、前言 北京时间3月20日晚,知道创宇区块链安全实验室监测到以太坊上分布式跨链协议Li.Finance受到了攻击,攻击者执行了37次call注入获取了多个钱包中约60万美元的资产.

CLE:DAOrayaki:科学领域的代币工程所解决的问题-ODAILY_RISITA价格

科学代币工程第1部分:科学问题 这是一系列讨论科学代币工程的博客文章中的第一篇文章。计算机科学与行为经济学的汇合首先,什么是科学代币工程?我强烈推荐TrentMcConaghy撰写的这篇出色的博.

ITA:JZL Capital区块链行业周报第17期-ODAILY_AND

每周摘要:CPI指数发布后,比特币价格持续下跌。ERC-721R发布,NFT买家可退还钱款,该举措能否进一步增加买家们对NFT项目方的信任?Juno社区投票否决18号提案,拒绝和CCN平分没收代.

UNO:Web3.0的未来之路-ODAILY_TWITTERX

“因为稀有才是珍贵的,而水是最便宜的,但最好的。”——柏拉图,《欧西德摩斯》30多年前,第一个网页是在欧洲核子研究中心所创建的,由TimBerners-Lee爵士和其他科学家想象构建.

SNOW:当音乐链上NFT,新的爆点就此产生-ODAILY_TRAXX

2021年作为NFT元年,随着NFT市场的大爆发,为加密技术、加密金融市场与艺术家们带来了一场前无古人的联动,越来越多的艺术家加入到NFT的创造中来,其中就包括音乐家.