据链闻消息，著名DeFi项目Furucombo被黑，损失超1400万美元。慢雾安全团队第一时间介入分析，并将攻击细节分享给大家。
攻击细节分析
本次发生问题的合约在Furucombo本身的代理合约当中。整个攻击流程很简单。攻击者通过设置了Furucombo的AaveV2Proxy的逻辑地址导致后续通过Furucombo代理合约调用的逻辑全部转发到攻击者自己的恶意合约上，导致任意资金被盗。
但是如果事情那么简单，那么本次分析不值一提。问题远比想象的复杂得多。
如上图所示攻击者的入口在Furucombo的batchExec函数，我们先对batchExec函数进行分析：
以上是FurucomboProxy合约的batchExec函数的具体实现，其中_preProcess和_postProcess合约分别是对调用前后做一些数据上的处理，不涉及具体的调用逻辑，这边可以先忽略。我们主要观察核心的_execs函数：
Vitalik：因FTX的中心化性质，其崩溃是不可避免的:11月12日消息，以太坊联合创始人Vitalik Buterin表示，FTX的巨大崩溃是不可避免的，因为它的中心化性质。在被问及FTX和其他加密货币公司今年的崩溃时，V神说:“今年我们看到了大量这样的事情，因为它们的模式从根本上说是坏的”。
Buterin指出，FTX的营销类似于“1930年代独裁者”的“个人主义风格”，这与加密货币精神完全相反。（decrypt.co）[2022/11/12 12:54:33]
通过对execs代码的分析不难发现，函数的主要逻辑是对configs数组的数据做检查，并根据configs数组的数据对data进行一些处理。但是回顾上文中攻击者的调用数据，不难发现攻击者的调用数据中，configs的数据是一个0地址：
这里有一个trick，由于0地址是一个EOA地址，所有对EOA地址的函数调用都会成功，但是不会返回任何结果。结合这个trick，execs函数中的关于configs数据的部分可以先暂时忽略。直接看到最后的核心_exec函数：
动态 | 研究：加密货币挖矿会不可避免的导致出现负面社会净效益:一篇题为《加密危害：加密货币挖矿对空气污染和人体健康影响的经济价值评估》的论文发表在《能源研究与社会科学》杂志上，美国新墨西哥大学的Andrew Goodkind（经济学助理教授）、Benjamin Jones（经济学助理教授）和Robert Berrens（经济学教授）在论文中对加密货币挖矿技术的环境影响进行了评测。
论文论述称，加密货币的独立生成行为，或称为“挖矿”，可在任意地理位置，通过专门的计算机硬件消耗能源完成。大规模的“挖矿”活动，又称为采矿营地，现正聚集在网络连接速度最快、能源价格最便宜的地区，却对该地使用的能源环保与否这一问题，置之不理。研究数据显示，2018年，生成比特币所造成的损害成本一度与其经济价值相等。这些损害主要由发电所需的化石燃料燃烧产生的污染物引起，如二氧化碳、细颗粒物、氮氧化物、二氧化硫等。论文还指出，对于每种加密货币，随着生成一枚货币的电力需求逐渐增加，将几乎不可避免地导致出现负面社会净效益。（环球科学）[2019/12/6]
_exec函数的逻辑也很简单，在校验了_to地址后，直接就将data转发到指定的_to地址上了。而通过对攻击交易的分析，我们能发现这个_to地址确实是官方指定的合法地址。
声音 | 以太坊基金会研究员：以太坊的法律问题将带来不可避免的危机:昨日以太坊基金会研究员Vlad Zamfir在参加活动时发出明确警告：开发者需要开始考虑以太坊的法律地位，而不是仅仅希望以太坊的发展规模变大，直到政府不得不接受它。政府不会让这种颠覆性的革命发生，所以以太坊现在需要适应。他表示，以太坊诞生于一场反主流文化、赛博朋克式的运动。在以太坊上，我们比比特币走得更远，我们不只是为了钱，而是为了一切。如果区块链的创造者，继续不受法律和政府的约束来行事，他们将带来一些后果。（区块律动）[2019/10/11]
最后一步，便是调用_to地址，也就是官方指定的AaveV2Proxy合约的initialize函数，将攻击者自己的恶意地址设置成AaveV2Proxy合约的逻辑地址。通过对Furucombo合约的分析，可以发现整个调用流程上没有出现严重的安全点，对调用的地址也进行了白名单的检查。那么问题只能是出在了对应要调用的代理逻辑上，也就是AaveV2Proxy合约。
声音 | 爱沙尼亚金融监督管理局局长：试图对抗Libra等加密货币毫无意义 监管不可避免:据ERR.ee 7月23日消息，爱沙尼亚金融监督管理局（FSA）局长Kilvar Kessler在接受采访时表示，试图对抗Facebook的Libra等加密货币毫无意义。监管机构应该努力详细了解加密货币，并确保法律和规则得到相应的调整。Kessler对于Facebook的Libra发表评论称：“唯一明智的做法是仔细研究它的细节，然后让当局做出反应。原则上，货币领域的创新不应被拒绝：毕竟，货币是人类的发明。”[2019/7/23]
我们直接分析AaveV2Proxy合约的initialize函数的逻辑：
可以看到initialize函数是一个public函数，并在开头就检查了_implementation是否是0地址，如果是0地址，则抛出错误。这个检查的目的其实就是检查了_implementation是否被设置了，如果被设置了，就无法再次设置。根据这个设置，不难想出initialize这个函数只能调用一次。除非AaveV2Proxy从来没有设置过_implementation，否则这个调用是不会成功的。难道Furucombo真的没有设置过对应的_implementation吗？带着这样的疑问，我们检查了交易内的状态变化。如下：
分析师：波动是周期中不可避免的一部分:eToro分析师Matthew Newton对于近期币市波动评价道，谷歌禁止数字货币广告的禁令显然影响了市场，但是宣布此消息之前，币市价格停滞不前。美国证监会会数字货币的监管以及Mt Gox的抛售让数字货币在过去几周遭受一系列严重打击，而由此造成的购买机会的缺乏让更多经验丰富的投资者沮丧。但是他补充道，正如我们预料市场急剧上涨，我们也应该预料到大幅下跌。波动是周期中不可避免的一部分，投资者不应该忘记BTC的价格只是回到几个月前。市场在以前经历过比这更大的挫折，我们对长期前景持有信心。[2018/3/18]
可以看到，交易中改变了存储位置为0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc的内容，而写入的内容正是攻击者自己的恶意合约地址0x86765dde9304bea32f65330d266155c4fa0c4f04。
而0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc这个位置，正是_implementation数据的存储地址。
也就是说，官方从来没有设置过AaveV2Proxy合约的_implementation地址，导致攻击者钻了这个空子，造成了Furucombo资产损失。
总结
通过对整个事件的分析来看，Furucombo此次事故并不在安全漏洞的范畴内，主要的原因在于官方将未启用的AaveV2Proxy合约添加进了自己的白名单中，并且未对AaveV2Proxy合约进行初始化，导致攻击者有机可乘。
建议
目前，由于Furucombo遭受攻击，导致任何将代币授权过给Furucombo合约(0x17e8ca1b4798b97602895f63206afcd1fc90ca5f)的用户都将面临资金损失的风险。
慢雾安全团队建议与Furucombo交互过的用户检查是否有将相关代币授权给Furucombo合约。如有授权，应及时撤销相关授权，避免进一步损失。
**参考链接：**
代币授权检查地址：https://approved.zone/
攻击交易：
__https://ethtx.info/mainnet/0x6a14869266a1dcf3f51b102f44b7af7d0a56f1766e5b1908ac80a6a23dbaf449
往期回顾
王者开局偶遇猪队友——简析AlphaFinance&Cream被黑
BitMart入驻慢雾区，发布「安全漏洞与威胁情报赏金计划」
引介｜一种安全的LP价格的获取方法
千万美元损失背后的闪电贷攻击——yearnfinance被黑简析
如何通过恒定乘积黑掉SushiSwap？简析SushiSwap第二次被攻击始末
慢雾导航
慢雾科技官网
https://www.slowmist.com/
慢雾区官网
https://slowmist.io/
慢雾GitHub
https://github.com/slowmist
Telegram
https://t.me/slowmistteam
https://twitter.com/@slowmist_team
Medium
https://medium.com/@slowmist
币乎
https://bihu.com/people/586104
知识星球
https://t.zsxq.com/Q3zNvvF
火星号
http://t.cn/AiRkv4Gz
链闻号
https://www.chainnews.com/u/958260692213.htm
免责声明：作为区块链信息平台，本站所发布文章仅代表作者个人观点，与链闻ChainNews立场无关。文章内的信息、意见等均仅供参考，并非作为或被视为实际投资建议。
本文来源于非小号媒体平台：
慢雾科技
现已在非小号资讯平台发布68篇作品，
非小号开放平台欢迎币圈作者入驻
入驻指南：
/apply_guide/
本文网址：
/news/9726853.html
免责声明：
1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险
2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场
上一篇：
盘点零知识证明代表性项目：如何影响和塑造区块链生态系统？
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。