事件简述
8月5日凌晨四点，有用户在opyn论坛反馈自己的账户余额无故消失，并有用户发现可疑的交易信息，如下图所示：
Opyn项目方再对情况初步分析后做出回应表示：已经转移了资金，并正在寻找问题原因
截至发稿前，官方发文回应此次事件：遭到黑客攻击，并已对可能遭受攻击的资产进行转移，但此次漏洞只涉及ETH合约，并不影响其他合约。如下图所示：
成都链安：2022年第1季度区块链安全生态造成的损失达到12亿美元:4月20日消息，成都链安统计数据显示，加密行业2022年第1季度安全事件造成的损失达到12亿美元。[2022/4/20 14:36:00]
成都链安-安全实验室第一时间对本次事件进行跟踪分析，以下是态势感知系统检测盗的攻击者合约地址：0xe7870231992ab4b1a01814fa0a599115fe94203f0xb837531bf4eb8ebfa3e20948bd14be067c18cbd30xb72e60ea1d0c04605f406c158dce9ac6ae6d224c攻击者攻击方式还原：1、攻击者调用合约向合约发送n个USDC增加抵押，并得到合约币oETH2、攻击者调用合约发送ETH进行抵押，并销毁oETH以赎回自己的USDC3、攻击者赎回自己抵押的ETH。如下图所示：
成都链安：InuSaitama疑似遭遇套利攻击，损失约430个ETH:3月27日消息，据成都链安技术团队分析，InuSaitama疑似遭遇套利攻击，攻击者（0xAd0C834315Abfa7A800bBBB5d776A0B07b672614）在 Saitamask（0x00480b0abBd14F2d61Aa2E801d483132e917C18B）中通过swap交换出了几乎10倍价值的SAITAMA Token，之后再通过uniswap交换回ETH，将其转移到0x63493e679155c2f0aAd5Bf96d65725AD6427faC4，共获利约430个ETH。[2022/3/27 14:19:43]
巧克力COCO智能合约已通过Beosin(成都链安）安全审计:据官方消息，Beosin（成都链安）近日已完成巧克力coco智能合约项目的安全审计服务。据介绍，巧克力COCO是基于波场底层打造的一个去中心化开放金融底层基础设施。结合波场TICP跨链协议，订单簿DEX，智能挖矿等等功能的创新和聚合，进而打造全面去中心化金融平台。巧克力COCO无ICO、零预挖且零私募，社区高度自治。合约地址：THTpbtqfoGmL6HwqaGrWKd7aJAcUTbCnoC审计报告编号：202010042149[2020/10/5]
在步骤二中，攻击者调用exercise函数，并向其传递了两个地址A、B和两倍自己应得的USDC，程序正常执行，这导致地址B的资金受损。技术分析
以交易0x56de6c4bd906ee0c067a332e64966db8b1e866c7965c044163a503de6ee6552a为例，攻击者通过合约0xe7870231992ab4b1a01814fa0a599115fe94203f对合约0x951D51bAeFb72319d9FBE941E1615938d89ABfe2发动攻击，此笔交易中共获利$9907。如下图所示：
动态 | 成都链安：10月发生较典型安全事件共5起:据成都链安态势感知平台——Beosin?Eagle-Eye统计数据显示，在过去一个月（10月）中，共发生5起较为典型的安全事件。其中包括：1.EOS链上本月内总共发生两起攻击事件：一是假EOS攻击；二是游戏服务器解析参数问题。2.亚马逊云服务平台AWS被爆遭到了DDoS攻击，并因此被迫中断了服务。3.网页加密货币钱包Safuwallet被黑客通过注入恶意代码窃取了大量资金，并且殃及币安。4.Cryptopia被盗资产开始转移：一部分ETH流入知名DeFi借贷平台Compound；另有数个ETH流入一个叫做DeFi 2.0的DApp项目。鉴于当前区块链安全新形势，Beosin成都链安在此提醒各链平台需要增强安全意识，重视各类型安全风险，必要时可寻求安全公司合作，通过第三方技术支持，排查安全漏洞，加固安全防线；各钱包项目应进一步做好安全方面的审查，有意识地增强项目系统架构的安全性，并建立完善的应急处理机制。如发生资产损失，可借助安全公司的帮助，进行资产溯源追踪；用户在进行投资行为时需谨慎，远离资金盘，切勿刀口舔血。[2019/10/31]
攻击者首先调用了addERC20CollateralOption函数，向合约中发送了9900个USDC，如下图所示：
此函数中的addERC20Collateral(msg.sender,amtCollateral);负责代理转账USDC；函数中的issueOTokens(amtToCreate,receiver);负责铸币oETH，此笔交易铸币30个oETH并发送给了攻击者，如下图所示：
在此完成后，攻击者的vault参数进行了变化。vault.oTokensIssued和vault.collateral分别更新300000000和9900000000为如下图所示：
然后攻击者开始将oETH兑换出来。调用exercise，构造参数oTokensToExercise为60，vaultsToExerciseFrom为两个地址，其中一个是也满足条件的他人地址。如下图所示：
Exercise函数运行_exercise(vault.oTokensIssued,vaultOwner);分支，将30oETH相应比例的USDC发送给调用者，如下图所示：
我们可以注意到，在最终转账时，_exercise是将USDC转给了msg.sender,也就是攻击者。我们回头看exercise中存在者for循环，攻击者输入的oTokensToExercise为60，所以合约再验证了第二个地址符合条件的情况下，依旧会将余额转给msg.sender,也就是攻击者。这就使得攻击者可以获得两次USDC，从而获得利润。总结建议
此次事件攻击者利用了exercise函数的逻辑缺陷。此函数在进行最后转账前并未验证调用者是否有权限赎回此地址的USDC，只是简单的验证了地址是否可以赎回。属于代码层的逻辑漏洞，并且根据官方回复，此合约是经过安全审计的。成都链安在此提醒各项目方：1、项目上线前应当进行足够有效的安全审计，最好是多方审计2、对于合约的应当设置暂停合约交易等功能，在发生安全事件时，可以以保证资金安全3、安全是一个持续的过程，绝非一次审计就能保平安，与第三方安全公司建立长期的合作至关重要
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。