据慢雾安全团队监测，ETH链上的brahTOPG项目遭到攻击，攻击者获利约89,879美元。慢雾安全团队以简讯形式分享如下：
1.攻击者首先查询了受害用户0x392472的余额，接着调用了Zapper合约的zapIn函数。
动态 | 福布斯称John McAfee猛批Libra 遭本人发推文驳斥:福布斯11月5日发表了一篇题为《愤怒的John McAfee猛批Libra令人厌恶》（Furious John McAfee Slams Facebook’s Libra As An ‘Abomination’）的文章，对此，John McAfee于6日发布推特回应：“我不记得自己曾被激怒，更不用说对Libra感到 ‘愤怒’了。我惊讶于我们的媒体能够延伸、扭曲并重新定义事实。”[2019/11/6]
2.首先函数会为合约转账requiredToken参数所指定的代币，由于该函数传入的参数是外部可控的，所以攻击者恶意构造了该参数使得requiredToken为假代币并将假代币转给Zapper合约。
声音 | 赵长鹏：中国加快区块链技术采用可能部分是由Libra推动:赵长鹏今日在推特强调了Facebook加密货币项目Libra的必要性。他表示，中国加快区块链技术采用可能（或者说部分）是由Libra推动的，而这又进一步推动了加密领域发展，我们可能需要感谢扎克伯格。对美国参议员来说，现在情况可能比较糟糕，但他们现在最好的选择可能是支持Libra。[2019/10/27]
3.接着会调用内部函数zap，在该函数中首先会检查合约中假代币的余额是否大于或等于传入的值，由于第二步的操作所以通过了该检查。
声音 | Facebook区块链项目负责人：完全同意应该仔细和耐心地解决对于Libra的合理担忧:Facebook区块链项目负责人David Marcus发布推文称：“刚刚了解到美联储主席鲍威尔在美国众议院金融服务委员会听证会上的评论，我完全同意应该仔细和耐心地解决对于Libra的合理担忧，并且不应匆忙。这也是我们提前分享计划的原因。”[2019/7/11]
4.之后会外部调用假代币合约的approve函数，该函数为攻击者恶意构造，是为了给Zapper合约转账frax代币，此操作是为了通过后续合约中对frax代币余额的检查并且能成功给金库存款。
5.最后外部调用了swapTarget参数所指定的合约，并且调用所传入参数也是外部可构造的，所以攻击者利用此处任意外部调用漏洞转走了其他有授权的用户的USDC代币。
6.攻击者重复以上步骤，总共攻击了三次，转移了三个受害者账户下的USDC代币约889,343枚。
此次攻击的主要原因在于Zapper合约为对用户传入的数据进行严格检查，导致了任意外部调用的问题，攻击者利用此任意外部调用问题窃取了对合约仍有授权的用户的代币。
慢雾安全团队提醒使用过该合约的用户请迅速取消对该合约的授权以规避资产被盗的风险。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。