以太坊交易所 以太坊交易所
Ctrl+D 以太坊交易所
ads
首頁 > BNB > Info

CertiK:十天內三起“炸橋案” 概覽_RIDGE:BRIDGE

Author:

Time:1900/1/1 0:00:00

隨著區塊鏈技術的發展及各類新增長的出現,加密貨幣生態系統隨之產生了更多的安全風險及復雜性。

在2021年的基礎上,2022年的攻擊賽道又出現了一位“強力選手”。跨鏈橋作為新的攻擊載體,安全性方面的發展尚未成熟。因此,跨鏈橋也是所有項目以及開發人員應該提高警惕的領域之一。

2022年的春節假期尚未結束時,跨鏈橋即發生了兩起重大攻擊,算上春節前的另一起同類事件,短短10天內的三起攻擊事件使得黑客在跨鏈橋方面取得了“傲人”成績。

在對這幾起事件進行了解之前,我們需要先知道什么是跨鏈橋以及它的原理。用一個相對簡單的描述:bridge可將資產從一個區塊鏈轉移到另一個區塊鏈。?

跨鏈交易

印度財長:歡迎G20支持建立協調一致的加密貨幣全球政策:金色財經報道,印度財政部長Nirmala Sitharaman周五強調了多邊協調的必要性,以應對許多發展中國家不斷上升的債務脆弱性,并歡迎G20國家支持建立一個協調一致的加密貨幣全球政策。

財政部在推特上寫道,Sitharaman在閉幕詞中歡迎對加密資產的支持,特別是在建立和理解宏觀金融影響方面,從而為協調一致的加密資產全球政策提供信息。她還感謝國際貨幣基金組織(IMF)整理了一份關于加密資產宏觀金融影響的綜合文件,供G20 FMCBG審議。該部門表示,財政部長還強調了協調和補充努力的必要性,以支持負責任的技術創新和維護金融體系的穩定。[2023/2/25 12:29:04]

跨鏈交易的步驟如下:

Netflix韓劇《非常律師禹英禑》將與Polygon合作推出NFT項目:8月9日消息,正在播出的韓劇《非常律師禹英禑》是Netflix上收視率最高的非英語節目之一,其制作公司與Polygon合作建立一個NFT社區,以倡導人們對自閉癥譜系障礙(ASD)的認識。

韓劇制作公司Astory旗下AIMC在一份聲明中表示,計劃建立一個名為“Extraordinary Whales Club”的NFT項目,吸引該劇的粉絲,提高公眾對ASD的認識。該公司還將成立一個DAO,為ASD患者籌集慈善資金。(Forkast)[2022/8/9 12:12:08]

1.用戶將代幣“存入”一條鏈上的“bridge合約”,并生成一個證明,指定所需的跨鏈信息。

WazirX創始人:幣安已重啟WazirX的鏈下轉賬:金色財經報道,WazirX創始人Nischal Shetty透露,幣安已重啟鏈下轉賬。幣安周日禁用了到WazirX的鏈下轉賬。Shetty猜測是因為很多用戶的抱怨。 此前,一名WazirX董事的財產因涉嫌欺詐調查而遭到印度執法局(ED)的突擊搜查,而Shetty和幣安創始人趙長鵬在社交媒體上就平臺所有權問題發生分歧。趙長鵬曾表示,在WazirX上有資金的用戶應該將他們轉移到幣安。(CoinDesk)[2022/8/8 12:10:06]

2.bridge合約驗證該證明,隨后在目標鏈上用戶可以從bridge合約中"提取"代幣。在最近的三起事件中,攻擊者注入欺騙性數據,繞過驗證,將目標鏈上的相應代幣提取到指定地址。

Nansen CEO:目前超90%的ETH交易使用EIP-1559:7月26日消息,Nansen首席執行官Alex Svanevik發推文稱,目前超90%的ETH交易使用EIP-1559。

據悉,EIP-1559由以太坊創始人V神于2018年首次提出,于去年8月份實施,旨在通過引入固定費用和銷毀機制來降低交易費。[2022/7/26 2:38:03]

Bridges上的常見攻擊媒介

QubitBridge漏洞事件

攻擊者偽造數據繞過bridge合約的數據真實性檢查,在沒有提供任何加密貨幣的情況下使bridge合約產生了攻擊者已存款的虛假時間證明。

其根本原因在于ETH和ERC-20的存款共享相同的事件證明。這允許攻擊者調用該函數利用不存在的ERC20存款事實生成虛假的ETH存款事件證明,并以此在另一條鏈上提取ETH。

在這種情況下合約中的漏洞被觸發——當代幣地址是EOA時,“safeTransferFrom”函數不會回退。因此,攻擊者在沒有向合約發送任何代幣的情況下獲取了證明。

事件詳細分析請戳:https://certik.medium.com/qubit-bridge-collapse-exploited-to-the-tune-of-80-million-a7ab9068e1a0

Meter?Bridge漏洞事件

該漏洞與Qubitbridge漏洞很相似——攻擊者避過bridge合約向bridge提供不存在的代幣證明從而跳過了驗證過程,從而可以在另一個鏈上提取代幣。

Bridge合約提供了兩個方法:deposit和depositETH。

然而,這兩個方法產生了相同的存款事件證明,并且deposit函數并沒有阻止WETH/WBNB的存款交易,也沒有銷毀或鎖定WETH/WBNB。

黑客通過使用deposit,在沒有任何真實存款的情況下使bridge合約產生了虛假的WETH/WBNB存款事件證明。

Solana跨鏈橋蟲洞事件

Solana蟲洞的漏洞事件中,攻擊者通過向指令注入一個惡意的“sysvaraccount”來繞過“verifysignature”,并偽造了一個鑄造Wormhole-wrappedEther的消息。

這個漏洞的根本原因是在驗證簽名過程中,程序使用了一個在Solana更新至1.8.0時即被廢棄的“load_current_index”函數。

該函數不會驗證輸入的“sysvaraccount”是否真的是“systemsysvar”,從而攻擊者可以趁機偽造這個關鍵帳戶。

此后,攻擊者利用此偽造的賬戶生成了虛假的鑄幣信息,然后根據得到的鑄幣在目標鏈上提取了相應真實代幣。

三起“炸橋案”總結

Qubit以及Meter.io的bridge代碼未能處理臨界情況,也就是說,合約的ERC20存款功能可以用來生成虛假的ETH/BNB存款事件證明,而后者成為了目標鏈上提取真實ETH/BNB的憑證。

Wormholebridge則是其合約未驗證調用者注入的“sysvaraccount”,從而產生了虛假的鑄幣信息。

總而言之,上述三起事件都是由于驗證過程的缺陷而造成的。

如何應對該類漏洞?

在上述攻擊中,我們可以吸取到一些關鍵教訓:

1.對于不同的功能,比如ERC20的存款和ETH/BNB的存款,合約應產生不同的事件證明。

2.始終記得驗證用戶注入的輸入。

3.密切關注近期漏洞事件,并檢查其他項目是否存在類似情況。

4.需要對每個bridge的核心合約進行相應審計。

除此之外,當該漏洞發生后,我們應該:

1.停止中繼消息層并暫停代幣傳輸,bridge合約也應暫停所有充提幣功能。

2.立即通知社區、交易所和平臺合作伙伴,監控資金流向。

3.建立與權威安全專家們的溝通渠道,進行有效的討論和信息共享。

4.識別、驗證和修復漏洞。及時測試以確保現有的漏洞得到解決以及未產生新的漏洞,同時對bridge合約進行升級。

5.評估損失,并與社區就被利用的資產數量、可追回的資產以及補償計劃進行坦誠地溝通

Tags:BRIDGERIDGEBRIDGEPolkaBridgeledger錢包無法同步Bridge BotBridge Protocol

BNB
2022 年以太坊展望:ETH年底有望漲至6000 美元_以太坊:ETH

作者:GitumaniTalukdar 編譯:AmyLiu 隨著傳統貨幣在疫情中失去影響力,加密貨幣近來越來越受歡迎。其中,以太坊是加密資產中的最高成就之一.

1900/1/1 0:00:00
FTX創始人SBF在美國參議院聽證會上聊了這些重點_FTC:CFT

編譯:Moni FTX?首席執行官SamuelBankman-Fried于北京時間2月9日23點參加由美國參議院農業、營養和林業委員會舉辦的聽證會.

1900/1/1 0:00:00
Web3的世界里,「創造者經濟」將統治新的時代_TAL:PIT

很多年前,“主流媒體”主導著娛樂界和新聞界。少數的幾家公司控制著我們大多數人所有閱讀、查看和收聽的內容.

1900/1/1 0:00:00
元宇宙與法律的夢幻聯動 | Footprint Analytics_ETA:國家為什么要打擊元宇宙概念

Jan.2022,Grace@footprint.networkDataSource:FootprintAnalytics??繼探討了各國對元宇宙的態度和動作之后.

1900/1/1 0:00:00
Coinbase:LooksRare算不算成功?_LOOKS:OKS

只有Crypto領域才會出現的現象是:一個由匿名創始人在幾周內建立起來的平臺,就能與業內處于領先地位的平臺進行抗衡.

1900/1/1 0:00:00
道富倫幣:1-26比特幣以太坊壓力支撐 咱們韭菜命運必須掌握在咱們手里_YDR:meritcircle幣最新消息

昨日回顧今日行情分析 比特幣昨日行情來回震蕩,早間從37550附近一路下行至35700附近后開始走出反彈最終幣價再次回到37500附近,多空并未有延續性,由此可見37500附近阻力位較大.

1900/1/1 0:00:00
ads