權限問題：Crosswise被黑事件分析_STE:stepn幣價格

此次攻擊導致協議損失87.9萬美元

近日，BSC上Crosswise遭遇黑客攻擊,此次攻擊導致協議損失87.9萬美元。攻擊者僅用1個CRSStoken便獲取CrosswiseMasterChef池中價值87.9萬美元的692K個CRSS

SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。

事件分析

攻擊過程如下：

DCG發布Genesis調解聲明：各方已簽訂 30 天調解期:5月9日消息，Digital Currency Group（DCG）發布 Genesis 調解聲明稱，根據各方于 5 月 1 日簽訂的 30 天調解期，DCG 繼續與 Genesis Capital 重組過程中的各利益相關方進行接觸。為了提供進一步的財務靈活性，DCG 正在與資本提供者討論發展資本（growth capital），并為其與 Genesis 的未償公司間債務再融資（refinance）。[2023/5/9 14:52:36]

修改owner

韓國DAXA已將Paycoin標記為投資警告，將審查下架等后續措施:1月12日消息，韓國5大加密交易所組成數字資產交易所聯合協會（DAXA）今日表示，即使Paycoin在2月5日之前未能簽署銀行實名賬戶合約，也將通過解釋過程等單獨審查退市（下架）上市等后續措施。

據悉，Paycoin是韓國大型支付公司Danal子公司Danal Fintech旗下加密貨幣支付平臺。1月6日消息，韓國金融當局責令Paycoin在2月5日之前關閉相關服務。[2023/1/12 11:08:36]

Circle推出救災基金Circle Disaster Relief Fund并提供價值50萬美元USDC:9月30日消息，美元Stablecoin USDC發行方Circle在社交媒體宣布，作為Circle Impact的一部分，該公司在Converge22大會上正式推出救災基金Circle Disaster Relief Fund并提供價值50萬美元USDC，旨在日益嚴重的自然災害中提供社區級援助，Circle還將與Endaoment合作邀請Web3社區捐贈并參與贈款分配選擇過程。[2022/9/30 6:04:14]

首先設置trustedFowarder，然后通過transferOwnership函數修改owner。該過程中，自定義的_msgSender()函數存在漏洞。trustedForwarder的修改缺少權限限制，導致_msgSender函數的判斷可以通過修改trustedForwarder變量來影響其結果，最終使得owner可以被其他用戶修改。

IMF：各國監管機構需要一個協調、一致和全面的加密貨幣監管框架:金色財經消息，在國際貨幣基金組織（IMF）的一份新報告中，IMF貨幣和資本市場部主任Aditya Narain以及助理主任Marina Moretti表示，加密貨幣已經從“利基產品”轉變為作為投資、對沖弱勢貨幣和潛在支付工具更主流的存在。作者還認為，最近加密貨幣發行人、交易所和對沖基金的失敗“增加了推動監管的動力”。

此外，作者指出，各國監管機構之間對加密貨幣監管存在不一致的方法，并認為需要一個協調、一致和全面的全球加密貨幣監管框架。（Cointelegraph）[2022/9/6 13:11:17]

由于上一步攻擊者修改了owner，即獲取了owner權限，因此，攻擊者調用了set函數設置了MasterChef合約中的0號礦池的策略。

通過MasterChef合約中的withdraw函數提取了692184.64CRSS.

將CRSS兌換為BNB.

通過Tornado實現混幣，將盜取的BNB轉移到其他賬戶地址

總結：本次攻擊的根本原因是項目方自定義的_msgSender函數存在漏洞，導致合約的Owner權限可以被黑客更改從而獲取MasterChef合約的Owner權限，最后通過Owner權限竊取了項目中的資金。另外，攻擊者賬戶發起攻擊的資金來源于Tornado混幣平臺。

安全建議

SharkTeam提醒您，在涉足區塊鏈項目時請提高警惕，選擇更穩定、更安全，且經過完備多輪審計的公鏈和項目，切不可將您的資產置于風險之中，淪為黑客的提款機。

SharkTeam作為領先的區塊鏈安全服務團隊，為開發者提供智能合約審計服務。智能合約審計服務由人工審計和自動化審計構成，滿足不同客戶需求，獨家實現覆蓋高級語言層、虛擬機層、區塊鏈層、業務邏輯層四個方面近兩百項審計內容，全面保障智能合約安全。

來源：金色財經

Tags：NERSTEOWNCOITokenRunnerstepn幣價格CLOWNCOI價格

狗狗幣最新價格