Superfluid_HQ被黑分析-ODAILY

前?

2022年2月8日，知道創宇區塊鏈安全實驗室監測到以太坊上的DeFi協議superfluid遭遇黑客攻擊，損失超1300萬美元。實驗室第一時間跟蹤本次事件并分析。

攻擊涉及基礎信息

Superfluid：0xEBbe9a6688be25d058C9469Ee4807E5eF192897f

BitMart將接入Cobo場外托管和清算網絡SuperLoop:2月9日消息，數字資產交易平臺BitMart宣布與數字資產托管平臺Cobo達成合作，將接入Cobo即將發布的交易所場外托管與結算網絡SuperLoop，使BitMart機構用戶能夠在其平臺交易的同時，使用基于多方計算（MPC）技術的協同托管功能來實現對資產的完全掌控。

本次合作將使BitMart的機構客戶能夠利用先進的多方計算（MPC）技術，門限簽名算法TSS（Threshold Signature Scheme）來確保其資產的安全。在該方案中，Cobo和客戶獨立持有各自的私鑰分片，雙方無需分享各自私鑰分片，也無需完整私鑰，就能完成交易簽名。[2023/2/9 11:57:05]

攻擊交易hash：0x396b6ee91216cf6e7c89f0c6044dfc97e84647f5007a658ca899040471ab4d67

Superordinary Friends項目Discord服務器遭到攻擊:金色財經報道，據CertiK監測，Superordinary Friends項目Discord服務器遭到攻擊。請社區用戶在服務器修復之前不要點擊任何鏈接。[2023/2/3 11:45:10]

黑客地址：0x1574F7F4C9d3aCa2EbcE918e5d19d18aE853c090

攻擊合約地址:0x32D47ba0aFfC9569298d4598f7Bf8348Ce8DA6D4

跨鏈預言機解決方案SupraOracles與BlockVision達成合作:3月18日消息，跨鏈預言機解決方案SupraOracles宣布與BlockVision達成合作，BlockVision是第三代區塊鏈的一體化云服務解決方案，增加了高性能索引功能，以支持具有高交易輸出的區塊鏈工作負載。

BlockVision的目標是使開發者員能夠通過增強的API訪問跨鏈數據，以便跨多個區塊鏈（例如以太坊和Polkadot）更快地查詢數據。[2022/3/18 14:05:26]

漏洞分析

漏洞核心

此次漏洞核心在于函數callAgreement,該函數主要作用在于提供一個名為"ctx"的數據結構，“ctx”被用于協議間的通信共享。而此次事件的攻擊者就是對”ctx“數據進行了偽造，達到欺騙合約的目的。

漏洞利用

為什么假數據會被采用以及攻擊者是如何構造假“ctx”數據的？

從交易中可以看到攻擊者是直接在callData結尾處傳入了假“ctx”，同時真“ctx”數據也被構建出來了的，只是程序在處理數據時會將callData數據與“ctx”打包成一個對象，當協議對該對象進行解碼時，ABI解碼器僅會處理位于前面的數據而忽略掉后面的數據。

而構建一個假“ctx”數據也并不復雜，由于“ctx”結構末尾為全零所以僅需要仿照“ctx”結構將其直接添加在userData中，以下是官方示例如何構建一個假“ctx”：

總結

本次攻擊事件在于協議數據處理時無條件信任來源數據，應當對用戶數據與官方構造數據進行標識區分。近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：CTXSUPSUPERUPEProjectXSUPERPOOSUPERPOO幣SuperLauncher

以太坊價格今日行情