By:Victory@慢雾安全团队
2021年12?3?,据慢雾区情报,?位GnosisSafe?户遭遇了严重且复杂的?络钓?攻击。慢雾安全团队现将简要分析结果分享如下。
相关信息
攻击者地址1:
0x62a51ad133ca4a0f1591db5ae8c04851a9a4bf65
攻击者地址2:
0x26a76f4fe7a21160274d060acb209f515f35429c
恶意逻辑实现合约ETH地址:
0x09afae029d38b76a330a1bdee84f6e03a4979359
恶意合约ETH地址MultiSendCallOnly合约:
0x3cb0652856d7eabe51f1e3cceda99c93b05d7cea
受攻击的代理合约地址:
0xc97f82c80df57c34e84491c0eda050ba924d7429
逻辑合约地址:
FTX回应UCC:早已提供包含预期时间表的路线图,将在本周听证会上通报进展:4月10日消息,FTX债权人@AFTXcreditor发推称,针对FTX债务人申请延长其提交第11章计划和征求意见的专属期限(exclusivity period),FTX无担保债权人官方委员会(UCC)上周已提交声明表示“谨慎支持”FTX债务人的这一请求,但保留未来延长期限内寻求终止FTX专属期的权利(如果重组计划没有取得重大进展)。
UCC似乎对债务人缺乏进展和合作越来越不满,并希望更多地参与重组计划。UCC要求FTX债务人:在4月12日的法庭听证会上陈述9项进展;让其更多地参与进来;利用UCC的经验(任何UCC成员在加密货币和FTX方面的经验都可能比FTX的新管理层/顾问更多)。
FTX债务人于4月9日提交文件回应UCC,声称在UCC提交声明之前,他们早已向UCC成员解释其路线图的预期时间表,包括索赔流程、提交信息报告、提交计划、征求意见批准和确认等;还向UCC成员介绍了一个正在开发的门户网站。但UCC在声明中未提及上述事宜。FTX债务人计划在4月12日与法院分享这一路线图,将向法院和公众通报这些事项的最新情况。[2023/4/10 13:54:23]
0x34cfac646f301356faa8b21e94227e3583fe3f5f
Kraken首席法务官:正在加快推出银行计划:金色财经报道,Kraken的首席法律官Marco Santori在播客中表示,尽管监管环境充满挑战,但Kraken正在加快推出自己的银行计划。Santori补充说,Kraken的银行关系是安全的。Santori拒绝详细讨论美国证券交易委员会的和解,但他表示,质押在Kraken的收入中只占一小部分,Kraken既不承认也不否认申诉中的任何指控。[2023/3/6 12:45:25]
MultiSendCall合约ETH地址:
0x40a2accbd92bca938b02010e17a5b8929b49130d
攻击交易:
https://etherscan.io/tx/0x71c2d6d96a3fae4be39d9e571a2678d909b83ca97249140ce7027092aa77c74e
攻击步骤
FTT接近2.5 USDT,24H涨幅达28%:金色财经报道,行情显示,FTT价格短时上扬,最高至2.45 USDT,现报2.34 USDT,24H涨幅为28%。[2023/1/20 11:21:44]
第一步:攻击者先是在9天前部署了恶意MultiSendCall,并且验证了合约代码让这个攻击合约看起来像之前真正的MultiSendCall。
第二步:攻击者通过钓??段构造了?个指向恶意地址calldata数据让?户进?签名。calldata??正确的to地址应该是?0x40a2accbd92bca938b02010e17a5b8929b49130d,现在被更改成了恶意合约?ETH地址?MultiSendCallOnly合约0x3cb0652856d7eabe51f1e3cceda99c93b05d7cea。
交易所钱包近24小时有9,943.08枚BTC流入:金色财经报道,据coinglass数据显示,交易所钱包余额近24小时流入9,943.08枚BTC,近7天流入10,864枚BTC,近30天流出48,879.27枚BTC。目前全网交易所钱包余额总计为1,912,789.76枚BTC。[2023/1/2 22:20:03]
由于攻击者获取的签名数据是正确的,所以通过了验证多签的阶段,之后就开始执?了攻击合约的multiSend函数
印度尼西亚正在发展区块链游戏生态系统:金色财经报道,近日,在巴厘岛的NXC峰会上,Anantrupa首席执行官Ivan Chen表示,印度尼西亚正在利用区块链技术建设游戏生态系统,并表示,印度尼西亚很大一部分游戏玩家都拥有加密货币,这表明他们接受区块链游戏。同时,出席NXC峰会的印度尼西亚政府部长表示,在该地区将会创建更多的区块链游戏公司。[2022/9/10 13:20:35]
这时候通过查看攻击合约我们发现此处的修饰器Payable有赋值的情况存在。这时候我们通过对源码的反编译发现:
当payment.version<VERSION这个条件触发的时候每次调?的时候都会对storage进?重新赋值。这个storage是不是特别眼熟?没错我们来看下Proxy合约。
当这笔交易执?完毕时Proxy的storage已经变成0x020014b037686d9ab0e7379809afae029d38b76a330a1bdee84f6e03a4979359。
由于Proxy合约执?的逻辑合约地址masterCopy是从storage读取的,所以Proxy指向的逻辑合约会被攻击者更改为攻击合约。后续攻击者只需等待?户把?够的代币放?此合约,之后构造转账函数把钱取?即可。
我们分析了受攻击的合约的交易记录后,发现该攻击者?常狡猾。
攻击者为了避免被发现,在攻击合约中的逻辑中还实现了保证?户依然能正常使?相关的功能。
反编译攻击者的逻辑合约发现,在攻击合约的逻辑保证了攻击者动?前?户都可以正常使?多签功能。只有当攻击者??调?的时候才会绕过验证直接把?户的钱取?。
MistTrack分析
经MistTrack反追踪系统分析发现,攻击者地址1在11?23号开始筹备,使?混币平台Tornado.Cash获得初始资?0.9384ETH,在?分钟后部署了合约,然后将0.8449ETH转到了攻击者地址2。
攻击成功后,攻击者地址2通过Uniswap、Sushiswap将获利的HBT、DAI等代币兑换为ETH,最后将56.2ETH转到混币平台TornadoCash以躲避追踪。
总结
本次攻击先是使?了钓??段获取了?户的?次完整的多签数据,在利?了delegatecall调?外部合约的时候,如果外部合约有对数据进?更改的操作的话,会使?外部合约中变量存储所在对应的slot位置指向来影响当前合约同?个slot的数据。通过攻击合约把代理合约指向的逻辑指向??的攻击合约。这样就可以随时绕过多签把合约的钱随时转?。
经过分析本次的事件,?概率是?客团队针对GnosisSafeMulti-sig应?的?户进?的钓?攻击,0x34cfac64这个正常的逻辑合约是GnosisSafe官?的地址,攻击者将这个地址硬编码在恶意合约中,所以这?系列的操作是适?于攻击所有GnosisSafeMulti-sig应?的?户。此次攻击可能还有其他受害者。慢雾安全团队建议在访问GnosisSafeMultisig应?的时候要确保是官?的?站,并且在调?之前要仔细检查调?的内容,及早的识别出钓??站和恶意的交易数据。
标签:FTXUCCTORETHMilady Vault (NFTX)MUCC币Tortuga Staked Aptosreth币最新消息
注:12月14日,全球网络艺术品交易和研究平台Artnet推出《ArtnetNFT30》报告。报告基于综合评选指标体系评选出了2021年NFT行业最具影响力的30位人物,是其推出的首版NFT行业.
1900/1/1 0:00:00原标题:《在元宇宙里买Gucci和迪奥,软银押注这家亚洲公司》据华尔街日报报道,韩国元宇宙平台Zepeto已经获得了日本软银集团1.5亿美元的投资.
1900/1/1 0:00:0012月7日下午,巴比特中文社区举办线上AMA,CudosNetwork创始人及CEOMattHawkins和MADworld技术和产品负责人JasonLung分享了在元宇宙打怪升级的过程中.
1900/1/1 0:00:00DeFi之道讯,12月18日,基于Solana的跨链NFT平台UNQClub宣布完成300万美元私募融资.
1900/1/1 0:00:00原标题:《波卡生态都有哪些流动性解决方案?》当行业焦点由过去的比特币扩容问题,转移到以太坊的扩容问题上来时,波卡生态仍在发生着积极的变化,Kusama和Polkadot的平行链已经开始稳健运行.
1900/1/1 0:00:00l?本系列栏目旨在聚焦区块链行业要闻的摘录与洞察l?一周链上动向,一手即刻掌握l?部分图文素材源自网络;如有侵权.
1900/1/1 0:00:00