前言
北京时间2022年2月5日晚，Meter.io 跨链协议遭到攻击，损失约 430 万美元。知道创宇区块链安全实验室 第一时间跟踪本次事件并分析。
分析
基础信息
tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
MetaVersusWorld完成200万美元种子轮融资:12月13日消息，Web3元宇宙初创公司MetaVersusWorld宣布完成200万美元种子轮融资，Alphabit Digital Currency Fund、Xeta Capital、Launchpool、Westridge Markets、NetZero Capital、XSquared Ventures、GBIC、Alpha Sigma Capital和FBG Capital等参投。
据悉，MetaVersusWorld开发超现实且支持互动的虚拟多元宇宙，主要提供元宇宙商务、游戏和Web3 IP市场拓展等服务，该公司将利用这笔资金开发其alpha产品“Unreal Engine 5”，同时还在寻求额外300万美元融资。[2022/12/13 21:40:30]
攻击者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
美国说唱歌手Tyga加入DeHorizo??n Metaverse成为先锋体验官:9月27日消息，近日，DeHorizo??n宣布与获得格莱美奖提名的美国说唱歌手Tyga合作，后者将担任DeHorizo??n Metaverse的先锋体验官。他将参加两个即将举行的在线活动，“Raider Tyga Mystery Box”活动和“Claim and Mint DeMeta Pass ID (DeMeta) for free”活动。 DeHorizo??n还将与Tyga合作发行NFT“Raider Tyga”神秘盒子。（PR Newswire）[2021/9/27 17:10:12]
Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001
CoinMetrics：减半后48小时比特币算力下降近30%，1日平均出块时间上升至13分钟:金色财经报道，链上数据分析公司CoinMetrics发推文称，在比特币减半后不到48小时，已经看到了减半对比特币的巨大影响。随着算力下降接近30%，效率低下的矿工似乎正在离开。CoinMetrics认为，经过一段时间的混乱之后，随着高效的矿工取代低效的矿工，网络算力将有可能恢复。此外，算力的下降使1日平均出块时间上升至了13分钟。此前由于矿工急于在比特币减半之前获得更多的区块奖励，矿工将比特币1日平均出块时间缩短至近7.5分钟。比特币的通胀率完全符合预期，年化率昨天有史以来首次低于1.5％。[2020/5/15]
ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51
漏洞原理
漏洞关键在于跨链桥合约的deposit函数中，deposit函数会根据resourceID取相应的depositHandler，并调用deposit函数进行实际的质押逻辑。
而在depositHandler的deposit函数中，存在逻辑缺陷，当tokenAddress不为_wtokenAddress地址时进行 ERC20 代币的销毁或锁定，若为_wtokenAddress则直接跳过该部分处理。
该存在缺陷的逻辑判断可能基于在跨链桥合约中的depositETH函数会将链平台币转为wToken后转至depositHandler地址，所以在depositHandler执行deposit逻辑时，已处理过代币转移，故跳过代币处理逻辑。
但跨链桥合约的deposit函数中并没有处理代币转移及校验，在转由deposiHandler执行deposit时，若data数据构造成满足tokenAddress == _wtokenAddress即可绕过处理，实现空手套白狼。
总结
本次攻击事件核心原因在于 Meter.io 跨链桥 depositHandler质押处理器中，存在逻辑判断缺陷，满足了跨链桥合约depositETH的逻辑场景，但忽视了deposit逻辑场景存在绕过缺陷。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。