Reaper Farm遭到惡意利用，損失160萬美元事件分析-ODAILY_STR:UltraNote Infinity

北京時間2022年8月2日13點，CertiK安全團隊監測到ReaperFarm的ReaperVaultV2合約被惡意利用，導致了價值超過160萬美元的損失。

攻擊者利用ReaperVaultV2合約中的一個漏洞——可以銷毀其他用戶的vaultshare并提取代幣，以此從多個vault提取了大量的代幣。

Gopax運營商Streami以2.92億美元估值完成約2368萬美元B輪融資:5月20日消息，韓國加密交易所Gopax運營商Streami以3700億韓元（約合2.92億美元）估值完成300億韓元（約合2368萬美元）B輪融資，軟銀與LINE的合資公司Z Holdings旗下風投子公司ZVC、KB Investment、灰度母公司DCG、Strong Ventures等參投。據悉，DCG于去年5月成為Gopax的第二大股東。

此前消息，Gopax已于4月28日恢復韓元市場。（韓國經濟報）[2022/5/20 3:31:03]

截至北京時間2022年8月3日8點，160萬DAI、62ETH以及200Matic已被存入TornadoCash。

NFT STARS與Double Trouble Creatives簽署商業合作協議:10月7日消息，澳大利亞NFT市場NFT STARS已與Moji Edit應用程序背后的創始團隊Double Trouble Creatives簽署了業務合作協議。Double Trouble Creatives是Moji Edit的開發商，這是一款使用AR和AI驅動的定制引擎創建個性化表情符號和表情符號貼紙庫的應用程序。兩家公司正在合作計劃啟動一個NFT新項目。[2021/10/7 20:11:28]

攻擊步驟

Blockstream面向銷售點推出NanoPos閃電網絡應用程序:據coinjournal消息，除了Nanotip和FileBazaar，Blockstream近期還推出了NanoPos閃電網絡應用程序。這是一個簡單的閃電式“銷售點”系統，非常適合價格固定的商品的個人銷售。NanoPos是Blockstream的首款LApp，專注于針對流行的WooCommerce平臺，支持閃電網關。據悉，WooCommerce平臺用于在整個網絡上創建和管理大量商店。 NanoPos為產品價格固定的庫存供應商提供更簡化的解決方案，例如咖啡店或小吃攤。[2018/3/28]

①攻擊者部署了一個攻擊者合約，通過該合約，攻擊者可在一次交易中從Reapervault提取多個用戶的資產。

②ReaperVaultV2合約并未檢查shareowner與messagesender之間的關系，因此攻擊者可以多次通過攻擊者合約提取vault用戶的資產。

③攻擊者將從金庫提取的代幣換成DAI、ETH和Matic，并將其存入TornadoCash。

漏洞交易

漏洞交易之一：

https://ftmscan.com/tx/0xc929f3b9312ff26be0adb1c3ff832dbdafdcbcaad33d002744effd515e53c9d5

其余漏洞交易:

https://ftmscan.com/address/0x5636e55e4a72299a0f194c001841e2ce75bb527a

漏洞分析

在ReaperVaultV2合約的`withdraw()`函數中，vaultshare所有者可以是msg.sender以外的賬戶。同時，所有者與msg.sender之間的關系或是allowance未被選中，意味著人們可以從vault提取其他用戶的資產。

寫在最后

本次攻擊事件本可通過審計發現「缺乏訪問控制」這一風險因素。該風險因素將被歸類于嚴重等級的風險。

而除審計外，CertiK安全團隊建議新增的代碼也需要在上線前及時進行相應測試。

Tags：REAVAULTULTSTRREALNANCEHODL Vault TokenUltraNote InfinitySTRIDR幣

FTX