知道创宇区块链安全实验室｜Meter.io 攻击事件分析

前言

北京时间2022年2月5日晚，Meter.io 跨链协议遭到攻击，损失约 430 万美元。知道创宇区块链安全实验室第一时间跟踪本次事件并分析。

分析

基础信息

tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
攻击者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001
ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51

漏洞原理

漏洞关键在于跨链桥合约的deposit函数中，deposit函数会根据resourceID取相应的depositHandler，并调用deposit函数进行实际的质押逻辑

而在depositHandler的deposit函数中，存在逻辑缺陷，当tokenAddress不为_wtokenAddress地址时进行 ERC20 代币的销毁或锁定，若为_wtokenAddress则直接跳过该部分处理

该存在缺陷的逻辑判断可能基于在跨链桥合约中的depositETH函数会将链平台币转为wToken后转至depositHandler地址，所以在depositHandler执行deposit逻辑时，已处理过代币转移，故跳过代币处理逻辑

但跨链桥合约的deposit函数中并没有处理代币转移及校验，在转由deposiHandler执行deposit时，若data数据构造成满足tokenAddress == _wtokenAddress即可绕过处理，实现空手套白狼

总结

本次攻击事件核心原因在于 Meter.io 跨链桥 depositHandler质押处理器中，存在逻辑判断缺陷，满足了跨链桥合约depositETH的逻辑场景，但忽视了deposit逻辑场景存在绕过缺陷。

近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。

知道创宇区块链安全实验室｜Meter.io 攻击事件分析相关推荐

知道创宇区块链安全实验室｜UmbNetwork 攻击事件分析
一.前言北京时间 2022 年 3 月 21 日,知道创宇区块链安全实验室监测到 BSC 链和以太坊上的 UmbNetwork 奖励池遭到黑客攻击,损失约 70 万美元.实验室第一时间对本次事件进 ...
知道创宇区块链安全实验室｜二月安全事件总结与回顾
前言新春二月,知道创宇区块链安全实验室拓宽了对区块链安全信息收集总结的信息广度,将专注于典型安全事件的视角,拔升到了对整个区块链安全资讯的审视. 以下是知道创宇区块链安全实验室对二月各类型安全资讯 ...
知道创宇区块链安全实验室｜Hundred 与 Agave 闪电贷攻击事件分析
1.前言北京时间 3 月 15 日晚,知道创宇区块链安全实验室监测到 Gnosis 链上的借贷类协议 Hundred Finance 与 Agave 均遭遇了闪电贷袭击,包括 AAVE 的分支 A ...
知道创宇区块链安全实验室 | OneRing Finance 闪电贷攻击事件分析
前言北京时间 2022 年 3 月 22 日,知道创宇区块链安全实验室监测到 Fantom 生态稳定币收益优化器 OneRing Finance 遭到闪电贷攻击,黑客窃取逾 145万美元. 分析 ...
知道创宇区块链安全实验室｜Ronin 安全事件分析
前言 Ronin 是新加坡游戏工作室 Sky Mavis 开发的,是为支持游戏 Axie Infinity 而构建的以太坊侧链,使得用户能够自由地将资产转移到其他链上. 北京时间2022年3月29日, ...
知道创宇区块链安全实验室｜危险的授权转账-- Li.Finance 攻击事件始末
一.前言北京时间3月20日晚,知道创宇区块链安全实验室监测到以太坊上分布式跨链协议 Li.Finance 受到了攻击,攻击者执行了37次call注入获取了多个钱包中约60万美元的资产(204个ET ...
知道创宇区块链安全实验室｜Build Finance 惨遭攻击，恶意治理攻击难防御？
0x01:前言风投 DAO 组织 Build Finance 在社交媒体发文表示,该项目遭遇恶意治理攻击,攻击者恶意铸造了110万枚BUILD并抛售套利.知道创宇区块链安全实验室第一时间对本次事件深 ...
创宇区块链 | 6 月安全月报
前言六月以来,安全事件仍层出不穷,即使币价下跌,攻击者却没有停下攻击的脚步.据知道创宇区块链安全实验室 [被黑事件档案库] 数据显示:该月发生的安全事件超 46 起,其中跑路骗局变得更加严重,而跨链 ...
创宇区块链｜5 月安全月报
前言五月以来,币价虽然在不断下滑然而发生的安全事件的数量却在显著攀升,据知道创宇区块链安全实验室[被黑事件档案库] 数据显示:该月发生的安全事件超 37 起,其中跑路骗局和网络钓鱼事件频发,而 T ...

知道创宇区块链安全实验室｜Meter.io 攻击事件分析

前言

分析

总结

知道创宇区块链安全实验室｜Meter.io 攻击事件分析相关推荐

最新文章

热门文章