老調重彈，ERC1155的重入攻擊又“現身”，Revest Finance被攻擊事件簡析_NFT:I will poop it NFT

2022年3月27日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，DeFi協議RevestFinance遭到黑客攻擊，損失約12萬美元。

據悉，RevestFinance是針對DeFi領域的staking的解決方案，用戶通過RevestFinance參與任何DeFi的staking，都可以直接創建生成一個NFT。

南非將加密資產歸類為金融產品:金色財經報道，根據南非金融部門行為監管局發布的新通知，南非已宣布加密資產為金融產品，該通知立即生效，并被歸類于該國《2022年金融咨詢和中介服務法》下關于加密資產作為金融產品的聲明。這一變化將數字資產更多地置于南非監管機構的管轄范圍內，新通知將加密資產定義為“價值的數字表示”，它不是由中央銀行發行，但可以“以支付、投資和其他形式的效用為目的”以電子方式進行交易、轉移或存儲。[2022/10/20 16:30:52]

在攻擊發生之后，項目方官方發推表示他們以太坊合約遭受了攻擊，目前已采取措施確保所有鏈中的剩余資金安全。

美元指數DXY早盤站上110:9月5日消息，行情顯示，美元指數DXY早盤站上110，日內漲0.34%。[2022/9/5 13:08:44]

成都鏈安技術團隊對此事件進行了相關簡析。

該mintAddressLock函數用于查詢并向目標鑄造NFT，并且nextid會在鑄造NFT后進行更新。

Nirvana協議Stablecoin池流動性已接近枯竭:7月28日消息，據算穩協議Nirvana頁面信息顯示，其Stablecoin池流動性已接近枯竭，USDC、DAI、USDT和USDH儲備近乎為0，僅剩710.5萬枚協議Stablecoin NIRV。

此前報道，算法穩定幣協議Nirvana遭攻擊，代幣暴跌90%。[2022/7/28 2:43:24]

攻擊者第一次調用mintAddressLock函數鑄造了2個ID為1027的Token為后續攻擊做準備，隨后再次調用mintAddressLock鑄造了3600個ID為1028的Token，在mint函數完成前攻擊者重入了depositAdditionalToFNFT函數，由于NFTnextId在mint函數鑄造NFT完成并通知后進行更新，此時的nextId仍然為1028，并且合約并未驗證1028的Token數量是否為0，因此攻擊者再次成功地鑄造了1個ID為1031的Token，完成了攻擊。

#2總結建議

此次攻擊中的鑄幣相關函數未嚴格按照檢查-生效-交互模式設計，且未考慮到ERC1155token轉賬重入的可能性。

建議在合約設計時嚴格按照檢查-生效-交互模式設計，并在ERC1155token相關DeFi項目中加入防重入的功能。

截止目前為止，攻擊者仍然未將資產進行轉移，成都鏈安將持續進行監控。

Tags：TOKENTOKTOKENFTimtoken錢包被盜可以追回嗎Mr.FOX TOKENUpOnly TokenI will poop it NFT

幣安交易所app下載