北京时间2022年3月13日上午9:04,CertiK安全技术团队监测到Paraluni'sMasterChef?合约遭到攻击,大约170万美元的资金通过多笔交易从该项目中被盗。
下文CertiK安全团队将从该项目的操作及合约等方面为大家详细解读并分析。
合约地址
Masterchef合约:?https://bscscan.com/address/0xa386f30853a7eb7e6a25ec8389337a5c6973421d#code
Animoca Brands支持的游戏Wreck League将Yuga Labs IP纳入故事情节:金色财经报道,游戏开发商和Animoca Brands子公司nWay正在推出一款名为“Wreck League”的 Web3 机甲格斗游戏。作为授权协议的一部分,这款基于 NFT 的游戏将把 Yuga Labs 的四个IP纳入游戏的故事情节中,包括Bored Apes IP, Mutant Ape Yacht Club、Bored Ape Kennel Club 和 Otherside Kodas 公司的 IP。
据悉,这款新游戏将在未来几周内推出,玩家将能够使用可收集的 NFT 部件来组装机甲或巨型机器人角色,这些部件可以移动以创建“1.5 万亿”种不同的组合。[2023/8/4 16:17:19]
攻击者部署了两个恶意的代币合约UGT和UBT。
Ordinals Wallet将根据Yuga Labs要求下架Bit Apes和Bitcoin Apes系列:4 月 21 日消息,比特币网络 NFT 市场 Ordinals Wallet 宣布,该平台将遵守 Yuga Labs 对其的要求,从市场中下架 Bit Apes 和 Bitcoin Apes 系列。
Ordinals Wallet 解释称,该平台试图通过删除所有商标引用来减轻影响。并为该项工作花费数小时时间,但经过进一步交涉,平台仍然必须尊重 Yuga Labs 的知识产权。[2023/4/21 14:17:41]
在UBT代币合约中,有两个恶意的函数实现:
Yuga Labs宣布会员徽章已在Twitter上线:金色财经报道,Yuga Labs宣布其会员徽章功能目前已在Twitter上线,旗下所有官方品牌都将配置该徽章。此举旨在解决社交媒体上日益增多的网络钓鱼链接,通过这种经验证的会员徽标可以尽可能地保护用户安全。
目前已确认的关联账号包括:@BoredApeYC、@cryptopunksnfts、@MeebitsNFTs、@OthersideMeta、@10KTFshop。[2023/3/8 12:48:45]
????1.在"transferFrom()"函数中,攻击者实现了对MasterChef的"deposit()"函数的调用,以存入LP代币。
????2.一个"withdrawAsset()"函数,将调用Masterchef的"withdraw()"来提取存入的LP代币。
攻击阶段:
攻击者利用闪电贷获得了156,984BSC-USD和157,210BUSD。
攻击者向ParaPair发送通过闪电贷获得的BSC-USD和BUSD代币,并收到155,935枚LP代币作为回报。
然后,攻击者调用"depositByAddLiquidity()"函数,将LP代币存入资金池。
???????1.在调用此函数时:输入参数“_pid”为18,“_tokens”为。
????????2.因为depositByAddLiquidity()会调用“UBT.transferFrom()”函数,因此MasterChef.deposit()函数会被触发并且向合约存入155,935LP代币。
???????3.因此,155,935LP代币被存入了两次并且攻击者获得了两份“userInfo”的记录(一次是从UBT,另一次是从攻击者的合约)。
最后,攻击者提取了两次:
???????1.?第一次是通过函数“UBT.withdrawAsset()”。
???????2.另一个是来自攻击者对“Masterchef.withdraw()”函数的调用。最后,攻击者删除了流动资金并返还了闪电贷。
`depositByAddLiquidity()`函数通过调用`addLiquidityInternal()`函数,触发了传入恶意代币的“transferFrom”函数,进而导致了重入的问题。因此,同一份LP代币被存入两次。
BNB仍然在攻击者在BSC的地址中,235个ETHs则通过Birdge转移到以太坊,并通过Tornado进行洗白。
时刻关注函数的外部输入,尽量避免传入合约地址作为参数。
关注外部调用,为所有可能出现重入危险的外部调用函数加上“nonReentrant”修饰函数。
本次事件的预警已于第一时间在CertiK项目预警推特进行了播报。
除此之外,CertiK官网https://www.certik.com/已添加社群预警功能。在官网上,大家可以随时看到与漏洞、黑客袭击以及RugPull相关的各种社群预警信息。
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。