賣意外險的保險公司也遭受了意外？Cover Protocol漏洞分析_COVER:ITH

北京時間12月28日晚，CertiK安全驗證團隊發現CoverProtocol發生代幣無限增發漏洞攻擊。本文為你分析事件詳情始末。

作為幣民如果加密資產不幸被盜，但項目方或者你個人購買了保險，那么也大可放心讓保險公司償還損失的資產。

可還有最差的一種情況：但是如果連保險公司都出了安全事故，受到攻擊了呢？

北京時間12月28日晚，CertiK安全技術團隊發現CoverProtocol發生代幣無限增發漏洞攻擊。

國家互聯網信息辦發布第十一批境內區塊鏈信息服務備案清單，央數藏等獲得備案:金色財經報道，近日，根據《區塊鏈信息服務管理規定》，?國家互聯網信息辦公室發布第十一批共502個境內區塊鏈信息服務名稱及備案編號。

本批公布的清單中，數字藏品相關的備案項目過半。備案清單包括：人民日報國家人文歷史數字藏品平臺（主體名稱：《國家人文歷史》雜志社有限公司）、央視網數字藏品發行平臺央數藏（主體名稱：央視國際網絡有限公司）、中國郵政數字藏品平臺（主體名稱：中郵電子商務有限公司）、騰訊區塊鏈TrustSQL軟件（主體名稱：騰訊科技（深圳）有限公司）、華為云數字資產鏈（主體名稱：華為云計算技術有限公司）等。[2023/2/22 12:22:27]

攻擊者通過反復對項目智能合約進行質押和取回操作，觸發其中包含鑄造代幣的操作，對Cover代幣進行無限增發，導致Cover代幣價格崩盤。

Beosin：Avalanche鏈上Platypus項目損失850萬美元攻擊事件解析:2月17日，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、 預警與阻斷平臺監測顯示，Avalanche鏈上的Platypus項目合約遭受閃電貸攻擊，Beosin安全團隊分析發現攻擊者首先通過閃電貸借出4400萬USDC之后調用Platypus Finance合約的deposit函數質押，該函數會為攻擊者鑄造等量的LP-USDC，隨后攻擊者再把所有LP-USDC質押進MasterPlatypusV4合約的4號池子當中，然后調用positionView函數利用_borrowLimitUSP函數計算出可借貸余額，_borrowLimitUSP函數會返回攻擊者在MasterPlatypusV4中質押物品的價值的百分比作為可借貸上限，利用該返回值通過borrow函數鑄造了大量USP（獲利點），由于攻擊者自身存在利用LP-USDC借貸的大量債務（USP），那么在正常邏輯下是不應該能提取出質押品的，但是MasterPlatypusV4合約的emergencyWithdraw函數檢查機制存在問題，僅檢測了用戶的借貸額是否超過該用戶的borrowLimitUSP（借貸上限）而沒有檢查用戶是否歸還債務的情況下，使攻擊者成功提取出了質押品（4400萬LP-USDC）。歸還4400萬USDC閃電貸后， 攻擊者還剩余41,794,533USP，隨后攻擊者將獲利的USP兌換為價值8,522,926美元的各類穩定幣。[2023/2/17 12:12:32]

技術分析?

超過62%以太坊節點托管在云服務器上:金色財經報道，據ethernodes數據，超過62%以太坊節點是托管在云服務器上，其中超過68%在亞馬遜云上。[2022/12/19 21:52:51]

主要攻擊分為以下步驟：?1.攻擊者設置攻擊必要的假代幣。

2.攻擊者使用假代幣，為BalancerPool提供流動性：

①總計向BalancerPool提供了2,573個DAI的流動性

②攻擊者通過向BalancerPool提供流動性，獲得了約132,688個Balancer流動性證明代幣BPT

3.攻擊者向CoverProtocal中的Blacksmith.sol智能合約質押(stake)前一步中所得的所有Balancer流動性證明代幣。質押時，攻擊者調用位于0xe0b94a7bb45dd905c79bb1992c9879f40f1caed5的Blacksmith.sol智能合約中的deposit函數，如圖一所示：

元宇宙游戲Chibi Clash完成300萬美元私募輪融資，Jump Capital等參投:5月31日消息，Web3元宇宙游戲Chibi Clash宣布完成300萬美元私募輪融資，本輪融資由Alliance、Genblock Capital、Jump Capital、C2 Ventures、Kyros Ventures、NGC Fund、PANONY、PetRock Capital、Polygon Ventures、Shima Capital、Avocado DAO、Rainmaker Games等參投。ChibiClash正在構建一個以旗艦汽車格斗游戲為中心的Web3游戲世界，游戲采用了《爐石傳說》的游戲玩法和《冒險島》的藝術風格，玩家可以使用NFT解鎖武器升級。[2022/6/1 3:54:06]

Terra鏈上DeFi鎖倉量跌至4.72億美元:金色財經消息，據DefiLlama數據顯示，當前Terra鏈上DeFi鎖倉量跌至4.72億美元，近24小時減少2.38%。目前，Terra鏈上DeFi鎖倉量排名前3的分別為：Anchor（2.9億美元，近24小時減少15.39%）、Mirror（5544萬美元，近24小時增加6.14%）、Risk Harbor（3274萬美元，近24小時減少18.2%）。[2022/5/15 3:16:36]

圖一：Thedeposit()functioninblacksmith.sol

通過調用deposit函數，攻擊者將得到的BPT流動性證明質押到coverprotocol中。

首先通過圖一中118行將當前流動性證明代幣的pool數據讀取到memory，然后調用121行代碼對當前pool的數據進行更新。

圖二：blacksmith.sol中的updatePool()函數

如圖二第75行所示，在updatePool()函數中修改的當前流動性證明代幣的pool數據是一份存儲在storage中的數據，與在deposit()中存儲在memory中當前流動性證明代幣的pool數據是兩份數據。在圖二第84行lpTotal的值代表當前合同中總共存入的流動性證明代幣數目，由于該變量數值較小，因此通過84行公式pool.accRewardsPerToken的數值將會增大，更新過的accRewardsPerToken值存儲在storage中。

圖三：blacksmith.sol中的_claimCoverRewards()函數接下來

如圖三中318行所示，deposit()通過調用_claimCoverRewards()函數，向函數調用者(msg.sender)鑄造一定數目的cover代幣。

鑄造cover代幣的數目與pool.accRewardsPerToken，CAL_MULTIPLIER以及miner.rewardWriteoff三個變量相關。

請注意這里pool.accRewardsPerToken的數值是使用了存放在memory中的pool數據，并非使用圖二中update()函數更新之后的數值。

同時，通過圖1中deposit函數得知，miner.rewardWriteoff的數值更新是在_claimCoverRewards()函數執行完成之后發生。

因此原本設計上應使用更新過的miner.rewardWriteoff的數值計算需要鑄造cover代幣的數目，這里錯誤的使用了未更新過的miner.rewardWriteoff的數據，導致實際鑄造cover代幣數目比應鑄造代幣數目增多，最終導致了代幣增發。

質押成功之后，攻擊者通過調用blacksmith.sol智能合約中的withdraw()函數,將質押的BPT取回，同時取得額外鑄造的cover代幣，完成攻擊。

通過對比執行deposit()函數和執行withdraw()函數之后的代幣結余表，我們可以發現通過這一組deposit和withdraw函數調用之后，攻擊者可以獲得約704個COVER代幣。

deposit()之后：

withdraw()之后：

攻擊者通過反復執行deposit和withdraw函數，可以使Blacksmith函數無限鑄造代幣，并將代幣轉到自己的地址中，由此獲利。攻擊發生后，截止發稿時，cover官方已經將blacksmith遷移到安全版本：

有漏洞的blacksmith地址：

0xe0b94a7bb45dd905c79bb1992c9879f40f1caed5

臨時修復后的blacksmith地址:

0x1d5fab8a0e88020309e52b77b9c8edf63c519a26

臨時修復后的blacksmith合同臨時禁止了一切質押和取回操作，以此阻止攻擊者繼續實行攻擊。?

本次攻擊最初攻擊者共獲利440萬美金，約合人民幣2900萬人民幣。

有其他攻擊者利用該漏洞發動類似攻擊，例如Grap.finance項目官方參與了利用該漏洞的攻擊，獲利4350個ETH代幣。

在攻擊發生后幾個小時，Grap.finance項目官方通過Twitter聲稱對本次攻擊負責，并表示已將所有的獲利退回給了CoverProtocol。

安全建議

為了確保數字資產不因任何非技術原因遭受損失，項目方應及時為項目產品購買保險，增加項目方和投資者的安全保障方案，確保其因受到攻擊所造成的損失可以被及時補償。

Tags：COVVERCOVERITHCOV ChainOver Powered Coincover幣總量LITHO價格

Gateio