PAR:项目方遇见「打桩机」？被攻击约40次损失170万美元

2022年3月13日，成都链安链必应-区块链安全态势感知平台舆情监测显示，Paraluni合约遭受攻击，损失约170万美元，成都链安技术团队对此事件进行了相关分析。

#1总述

我们以第一笔攻击交易0xd0b4a1d4964cec578516bd3a2fcb6d46cadefe1fea5a2f18eec4c0a496e696f9为例：

地址列表

攻击地址：

0x94bC1d555E63eEA23fE7FDbf937ef3f9aC5fcF8F

ArbDoge创始人身份疑似已被披露，项目方尚未对此作出回应:7月31日消息，推特KOL王大有公开表示，其本人系此前火爆一时的meme项目ArbDoge.AI创始人。他声称，“(该项目的)经济学、运营、每一篇medium故事，每一篇推文都出自我手。我会陪这个项目到最后，完成AIFI产品。”

但目前ArbDoge官方推特尚未对此事作出回应，王大有这一声明无法被证实或证伪。[2023/7/31 16:07:45]

攻击合约：

0x4770b5cb9d51EcB7AD5B14f0d4F2cEe8e5563645

Teddy Doge出现Rugpull，项目方卷款超455万美元:7月26日消息，基于BNB链的区块链项目Teddy Doge被质疑Rug pull，项目方的钱包出售了价值超过450万美元的原生TEDDY代币，兑换成1万枚BNB(约255万美元)和200万枚BUSD（200万美元），致使其代币TEDDY价格接近归零。PeckShield 今日于社交媒体表示，标记为官方的钱包将300亿枚TEDDY代币汇入PanckSwap兑换成1万枚BNB和200万枚BUSD后，又缓慢地转入到币安一个匿名钱包(0x902…)，派盾将这些行为称为“软性拉地毯”（soft Rug pull）。

PeckShield 补充说，与该项目相关的地址将 TEDDY 换成了打包的 BNB，而后者又换成了超过 10,000 BNB 和 200 万 BUSD。然后将转换后的资金发送到加密货币交易所 Binance。[2022/7/26 2:37:19]

ParaProxy：

CVN项目方声称从未参与人人影视字幕组的产品运营等实际业务:CVN意识价值网络发微博称，近日因人人影视涉嫌版权问题被查处的信息在社区不断散布，为避免媒体朋友与投资人产生疑惑，现CVN基金会作出如下声明:

1. CVNT项目方于2018年9月在海外注册了非证券属性的基金会用于整个项目的独立运营管理经营，发起的主要愿景便是解决内容版权问题。

2. CVNT项目方自立项以来从未参与人人影视字幕组的产品运营、内容分发、硬盘售卖、服务器管理等实际业务。

3. 人人影视作为国内最早最具影响力的公益字幕翻译组织，发生如此情况，CVN基金会深表遗憾，在国内海外文娱内容普及的大时代背景下，人人字幕组的消逝是一种遗憾。但时代是在变革与进步的，面对版权问题我们将会通过技术革新为社会提供支持，将人人以往的分享延续下去，版权是对内容生产者的尊重，从根本上保护版权利益也是我们的使命与职责。

4. 本公告为媒体和投资人清晰地陈述客观事实，避免不必要、不属实的内容传播。如有媒体或个人散播不实言论，本基金会将追究其法律责任。[2021/2/3 18:48:33]

0x633Fa755a83B015cCcDc451F82C57EA0Bd32b4B4

声音 | 慢雾科技余弦：所有数字货币项目方应完整review所有第三方模块:据IMEOS报道，慢雾科技余弦提醒所有数字货币相关项目（如交易所、钱包、DApp 等）都应该强制至少一名核心技术完整 review 一遍所有第三方模块，看看是否存在可疑代码，也可以抓包看看是否存在可疑请求。供应链攻击不计代价，数字货币依然炙手可热。

比如最新发现的： Hacker backdoors popular JavaScript library to steal Bitcoin funds 。[2018/11/27]

ParaImpl：

0xA386F30853A7EB7E6A25eC8389337a5C6973421D(MasterChef)

UGT：

0xbc5db89CE5AB8035A71c6Cd1cd0F0721aD28B508

UBT

0xcA2ca459Ec6E4F58AD88AEb7285D2e41747b9134

1.向CakeSwap(0x7EFaEf62)中通过闪电贷借贷224BSC-USD,224BUSD

2.把第1步借到的代币向Para-LP(0x3fD4FbD7)中添加流动性，并将获得的222枚流动性代币的接收地址指定为UBT(0xcA2ca459)地址，这一步是为了后续的重入做准备。

图2重入攻击

4.此处原本正常的逻辑为：添加流动性，并将流动性代币存入pid为18的流动性抵押池，但是本函数在代码中并未检查添加的流动性token0、token1得到的流动性代币是否与pid对应的流动性代币地址一致，导致了攻击的发生。注意，并不是所有的流动性池抵押都有该风险，由于第2524行代码，pool的ticket需要为零地址才能够通过该检查。

但是攻击者通过控制执行逻辑，实际执行的逻辑为：第2505,2506行将攻击者指定的1枚UGT、1枚UBT代币转入ParaProxy合约。然后在第2535行代码用于添加流动性，并在第2537行检查添加的流动性代币数量。

此时，vars.oldBalance为初始流动性代币数量。攻击者为了通过第2537行的检查，在添加流动性的过程中，进行了重入攻击。由于在添加流动性时调用了攻击者构造的恶意代币的transferFrom函数，攻击者在transferFrom函数中才将流动性通过deposit函数存入ParaProxy合约。这也是第2步时攻击合约将流动性代币接收地址指定为UBT合约的原因所在。

在重入过程中，UBT合约存入了真正的LP代币222枚，并计入ParaProxy的账本中。在重入完成后，ParaProxy合约地址新增了222枚LP代币，ParaProxy合约将其视为攻击合约添加的LP，并计入账本中。至此，UBT合约和攻击合约都新增了222枚LP的存取记录。

#2总结建议

攻击者一共执行了约40次攻击，共获利约170万美元。截止发稿时，攻击者通过跨链协议将其转到以太坊网络中，并将其中的660枚ETH转入Tornado.Cash，另外5枚ETH转入了0xDd52CE617cAF1b7C8cEaCC111DE2f1c54E20C1b0地址。

本次攻击主要由合约代码中存在逻辑缺陷以及存在资金操作的关键函数未进行防重入导致。建议合约开发者在开发过程中进行完整的测试以及第三方审计，并养成使用Openzeppelin库的ReentrancyGuard合约来进行重入攻击的防范。

标签：PARPARAARAProxyPARMAParallelARATAProxyNode

SHIB热门资讯