这是继昨日CertiK发布的Solana跨链桥虫洞项目被攻击事件分析后的又一起黑客袭击跨链桥项目事件。
漏洞利用交易
虚假存款:https://bscscan.com/tx/0x63f37aff7e40b85b0a6b3fd414389f6011cc09b276dc8e13b6afa19061f7ed8ehttps://etherscan.io/tx/0x2d3987963b77159cfe4f820532d729b0364c7f05511f23547765c75b110b629chttps://bscscan.com/tx/0xc7eb98e00d21ec2025fd97b8a84af141325531c0b54aacc37633514f2fd8ffdchttps://etherscan.io/tx/0xdfea6413c7eb3068093dcbbe65bcc9ba635e227c35e57fe482bb5923c89e31f7https://bscscan.com/tx/0x5d7cd17bfeb944390667c76f4fc2786f748dc3eb363c01c24b92becaaf5690b4铸币:https://bscscan.com/tx/0xf70b4aa715c0a04079c56cd9036cc63cdb6101e400520a8f2c019ad2ced5358ehttps://moonriver.moonscan.io/tx/0x689ff22ebf7f7aa6ecf0d60345979855442a09dfb7439c8553b2369e6e130409https://etherscan.io/tx/0xd619ace8a8cca2f7eb72dbc0a896fc2d4d8b20aa11f4d747f1a5333305bbb875https://moonriver.moonscan.io/tx/0xc7f764644e9af42714d98763b7e8dcf5e1de6b855b63e2c6ff2438e09b61ccc7黑客
Andre Cronje：Fantom不会涉足AI，区块链和AI不能结合:2月9日消息，Fantom创始人Andre Cronje在推特上回应，Fantom不会涉足AI，区块链和AI不能结合。具体针对“Fantom区块链在人工智能行业中扮演什么角色？”的提问，他回答，区块链=慢（按照中心化的标准来看）但透明安全，Al=高吞吐量、不透明、黑盒。
这两件事不能混为一谈。这就像问“你认为可口可乐在建筑行业中扮演什么角色？”区块链和Al不是互补的。目前任何人都想蹭“AI”的热点。如果你看到一个项目突然“转向Al”，这只意味着他们可能“快死了”……区块链不会改善Al，而Al也没有改善区块链。[2023/2/9 11:56:49]
黑客链上转账记录：https://debank.com/profile/0x8d3d13cac607b7297ff61a5e1e71072758af4d01/history转账地址：0x8d3d13cac607b7297ff61a5e1e71072758af4d01合约地址
美国受托人对FTX聘请纽约律师事务所Sullivan and Cromwell提出异议:金色财经报道，一名美国受托人对FTX聘请纽约律师事务所Sullivan and Cromwell提出异议。
美国受托人安德鲁·瓦拉（Andrew Vara）于1月13日提交的文件称，由于Sullivan and Cromwell此前与破产的加密交易所有联系，可能存在利益冲突。它写道：“S&C提交的披露完全不足以评估S&C是否符合破产法的无冲突和无利益标准。”[2023/1/15 11:12:26]
Bridge以太坊：https://etherscan.io/address/0xa2a22b46b8df38cd7c55e6bf32ea5a32637cf2b1币安智能链：https://bscscan.com/address/0xfd55ebc7bbde603a048648c6eab8775c997c1001Moonriver(moonbream)：https://moonriver.moonscan.io/address/0xf41e7fc4ec990298d36f667b93951c9dba65224eERC20HandlerEthereum：https://etherscan.io/address/0xde4fc7c3c5e7be3f16506fcc790a8d93f8ca0b40BSC：https://bscscan.com/address/0x5945241bbb68b4454bb67bd2b069e74c09ac3d51攻击流程
Cosmos通过拨款2万枚ATOM推出链间安全性激励测试网的提案，计划于11月推出:10月21日消息，Cosmos 社区以超 96% 的支持率通过了拨款 2 万枚 ATOM 以推出链间安全性（Interchain Security）激励测试网的提案。该测试网计划于 11 月推出，2 万枚 ATOM 的拨款将用于激励验证者参与测试网，其中 1 万枚将分配给参与测试的验证者，剩余 1 万枚将分配给发现漏洞或开发工具和提供监控解决方案的验证者。[2022/10/21 16:34:41]
步骤一：攻击者调用`Bridge.deposit()`函数，将0.008BNB存入连接到多个链的合约Bridge，包括币安智能链、以太坊以及Moonriver。
在函数调用`Bridge.deposit()中，攻击者注入了以下恶意数据：
三箭资本从Curve Finance和Convex中提取了4500万美元:金色财经报道，链上分析公司Nansen确定属于三箭资本（3AC）的钱包从之前押在Curve Finance和 Convex Finance的存款中提取了总计4500万美元。?PeckShieldAlert推特显示，三箭资本的地址从Curve Finance提取了20945美元的stETH（约3330万美元），从Convex Finance提取了约2421个WETH（约400万美元）、202.7个WBTC（约400万美元）和400万个USDT。
自6月份申请破产以来，3AC没有进行过大额交易。周二提款的目的尚不清楚。此举背后的一个原因可能是stETH 持有者在计划于9 月 15 日进行的合并后至少六个月才能将其代币兑换成以太坊。 一位推特投机者表示，3AC的举动表明大钱包持有者计划在合并期间对以太坊的高度关注期间清算他们的以太坊。[2022/9/7 13:13:57]
英国FCA公布更严格的法规以限制误导性广告:金色财经消息，英国金融监管机构金融行为管理局（FCA）宣布正在引入更严格的法规，以打击高风险投资产品的误导性广告。FCA正在等待英国政府在立法中确认如何将加密货币营销纳入FCA的管辖范围。
今年1月，英国政府宣布计划收紧围绕加密货币广告的规则，并将加密货币营销纳入FCA的管辖范围。（TheBlock）[2022/8/1 2:51:45]
步骤二：`Bridge.deposit()`调用了`ERC20Handler.deposit()`函数，输入内容如下：
步骤三：由于输入的resourceID是"0x000000000000bb4cdb9cbd36b01bd1cbaebf2de08d9173bc095c01”，token地址将为`0xbb4cdb9cbd36b01bd1cbaebf2de08d9173bc095c`，这与`_wtokenAddress`相同。
步骤四：这种情况下，一旦该指令通过，将导致攻击者实际上不需要向合约转移任何代币即可获得。步骤五：因此，攻击者可以在其他链上铸造"数据"中指定的任何相同数量的代币。合约漏洞分析
一般来说deposit()用于ERC20代币的存款，depositETH()用于WETH/WBNB代币的存款。Bridge合约提供了两个方法：deposit()和depositETH()。然而，这两个方法造成了相同事件，并且deposit()函数并没有阻止WETH/WBNB的存款交易，因为deposit()没有烧毁或锁定WETH/WBNB。黑客通过使用deposit()来制作假的存款事件，在没有任何真实存款的情况下，将WETH/WBNB存入。
资产追踪
黑客地址：https://debank.com/profile/0x8d3d13cac607b7297ff61a5e1e71072758af4d01/history几乎所有的资产都已转移到Tornado。
总结
这一事件与前不久发生的Qubit事件非常相似。一个黑客事件的发生往往会使更多别有用心之人关注类似项目中是否有类似的漏洞可以利用。因此，项目方的技术团队应及时关注已发生的安全事件，并且检查自己的项目中是否存在类似问题。目前，CertiK官网已添加社群预警功能。在官网上，大家可以随时看到与漏洞、黑客袭击以及rugpull相关的各种社群预警信息。
作为区块链安全领域的领军者，CertiK致力于提高加密货币及DeFi的安全和透明等级。迄今为止，CertiK已获得了2500家企业客户的认可，保护了超过3110亿美元的数字资免受损失。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。