北京时间4月8日凌晨01:43:36,CertiK安全技术团队监测到收益聚合平台Starstream因其合约中的一个执行函数漏洞被恶意利用,致使约1500万美元的资产受到损失。
黑客随后将盗取的STARS代币存入AgoraDeFi的借贷合约,并向其借入了包括Metis、WETH和m.USDC在内的多种资产。
Starstream是基于MetisLayer-2rollup的一个可提供及产生聚合收益的产品。该协议由不同的开发者维护,由STARS进行维护并治理。
时间线
北京时间4月8日凌晨02:47,一位用户担心Starstream的风险,于是在推特上发布了相关截图。随后,凌晨03:11,有人在StarstreamDiscord社群宣布资金库已被耗尽,并建议用户们尽快将自己的资产于Agora中提出。
黑客在Uniswap上盗取以太坊项目WLEO 4.2万美元资金:以太坊项目WLEO合约昨天晚些时候遭到黑客攻击,导致价值4.2万美元的资金被盗。黑客通过将向自己铸造WLEO,并将其换成以太坊,从去中心化交易所Uniswap的池中窃取了以太坊。这并不是Uniswap第一次遭遇类似的黑客攻击。发生黑客攻击后,WLEO价格下降99%。(Decrypt)[2020/10/12]
凌晨04:36,另一位发言者于StarstreamDiscord社群的GeneralStarstreamDiscord聊天区中表示"ExecuteFunction"函数存在漏洞风险。
Chainalysis:除DEX外 库币事件黑客已通过CEX交易并撤出了875枚比特币:Chainalysis在最新的一份报告中指出,库币事件黑客至少已通过去中心化交易所成功售出了价值1300万美元的代币,与此同时,也有一部分资金流入了中心化交易所(CEX)。Chainalysis表示,黑客已使用莱特币等加密货币在CEX中购买并撤出了大约875枚比特币,其中大约有683枚比特币已被发送至混币服务。(Decrypt)[2020/10/3]
攻击流程
攻击者调用合约并调用了Distributortreasury合约中的外部函数`execute()`。由于该函数为外部函数,可以被任何人调用,因此攻击者顺利将STARS代币从Starstream转移到自己账户。
动态 | 亚马逊及其子公司被提起集体诉讼,黑客要求比特币赎金:金色财经报道,四个美国家庭针对亚马逊及其子公司Ring Inc.提起了价值500万美元的集体诉讼,原告称,黑客的声音通过他们的Ring安全设备传来,要求房主向他们发送比特币。[2019/12/31]
合约漏洞分析
此次漏洞发生的根本原因是:Distributorytreasury合约中的execute函数没有任何的权限控制,因此可以被任何人调用。这个execute函数其实是一个底层调用,通过这个底层调用,攻击者能够以Distributorytreasury合约身份调用Starstreamtreasury合约的特权函数。
在这次攻击中,攻击者通过execute函数以Distributorytreasury的身份取走了在Starstreamtreasury中的所有STARS代币。
亚特兰大遭遇挖矿黑客攻击:昨日,亚特兰大官方通知,该市信息系统遭遇挖矿黑客袭击,黑客要求使用比特币支付5万1千美元就恢复系统。亚特兰大官员表示,官员们发现内部和外部系统均出现故障,无法正常运营,目前正在调查。[2018/3/23]
资产追踪
据CertiKSkyTrace显示,4月8日凌晨5点,黑客已顺利将所盗资金转移至TornadoCash。
其他细节
漏洞交易:
https://andromeda-explorer.metis.io/tx/0xb1795ca2e77954007af14d89814c83b2d4f05d1834948f304fd9d731db875435/token-transfers
攻击者地址:
https://andromeda-explorer.metis.io/address/0xFFD90C77eaBa8c9F24580a2E0088C0C940ac9C48/transactions
攻击地址合约:https://andromeda-explorer.metis.io/address/0x75381c1F12733FFf9976525db747ef525646677d/contracts
DistributorTreasury合约:https://andromeda-explorer.metis.io/address/0x6f99b960450662d67bA7DCf78ac959dBF9050725/contracts
StarstreamTreasury合约:
https://andromeda-explorer.metis.io/address/0x1075daD8CFd8bCbCfc7bEB234e23D507990C90e9/contracts
Starstream(STARS)代币合约https://andromeda-explorer.metis.io/address/0xb26F58f0b301a077cFA779c0B0f8281C7f936Ac0/contracts
写在最后
此次事件可通过安全审计发现相关风险。通过审计,可以查出这个函数是所有人都可以调用的,并且是一个底层调用。
在此,CertiK的安全专家建议:
在开发过程中,应该注意函数的Visibility。如果函数中有特殊的调用或逻辑,需要确认函数是否需要相应的权限控制。
前段时间有大量的项目因publicburn()函数而被黑,其根本原因和这次攻击一样,都是由于缺乏必要的权限控制所导致。
作为区块链安全领域的领军者,CertiK致力于提高加密货币及DeFi的安全和透明等级。迄今为止,CertiK已获得了3200家企业客户的认可,保护了超过3110亿美元的数字资产免受损失。
欢迎点击CertiK公众号底部对话框,留言免费获取咨询及报价!
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。