1.前言
北京时间3月15日晚，知道创宇区块链安全实验室?监测到Gnosis链上的借贷类协议?HundredFinance与Agave?均遭遇了闪电贷袭击，包括?AAVE的分支Agave?和?Compound的分支HundredFinance?。协议损失超1100万美元。目前?项目方已暂停其数百个市场。
知道创宇区块链安全实验室?第一时间跟踪本次事件并分析。
2.分析
Hunting Hill聘请Genesis和Galaxy Digital前高管负责加密货币业务:金色财经报道，三位消息人士透露， TradFi对冲基金运营商Hunting Hill Global Capital正在加倍押注加密货币交易。该公司正在为此招聘一些关键员工：至少两名Genesis前高管，外加至少一名来自Galaxy Digital的高管。
消息人士称，Hunting Hill聘请Martin Garcia担任其加密子公司Hunting Hill Digital的首席投资官，后者在曾Genesis工作6年多。Hunting Hill交易员Adam Genello将作为投资组合经理加入新基金。
据悉，通过推出Hunting Hill Crypto Opportunities Fund，Hunting Hill自2020年2月以来一直从事加密业务。[2022/12/24 22:05:11]
2.1攻击者相关信息
ThunderCore与886 Studios和Outliers Fund推出1亿美元Web3基金:9月12日消息，ThunderCore 已宣布与 886 Studios 和 Outliers Fund 建立全新合作伙伴关系，三方将成立一支全新 Web3 基金并募集 1 亿美元资金，该基金将专注于推动 GameFi、SocialFi、NFT 和元宇宙生态系统发展，同时推动开发人员在 ThunderCore 的 EVM 兼容 Layer 1 区块链上部署应用程序。除此之外，该基金还将积极投资于 Layer 1 生态系统上其他新兴加密领域的项目。（ cryptodaily ）[2022/9/12 13:24:47]
HundredFinance被攻击tx：
0x534b84f657883ddc1b66a314e8b392feb35024afdec61dfe8e7c510cfac1a098
Eric Balchunas：本月美国比特币ETF获得批准的可能性为75%:金色财经报道，彭博社高级分析师Eric Balchunas表示，随着美国证券交易委员会 (SEC) 对传统比特币 ETF 的“挑战”，比特币期货等价物正在为可能的批准做准备。比特币 (?BTC?) 交易所交易基金 (ETF) 本月以某种形式获得批准的可能性为 75%。
Balchunas 提到了 SEC 主席 Garry Gensler，他上周暗示了对这些工具的宽容立场。随后，我们开始看到根据《投资公司法》提交的关于寻求投资 CME 交易的比特币期货的交易所交易基金 (ETF) 的文件，当与其他联邦证券法结合时，40 法案为共同基金和 ETF 提供了重要的投资者保护。（cointelegraph）[2021/10/4 17:22:55]
攻击合约：0xdbf225e3d626ec31f502d435b0f72d82b08e1bdd
火币矿池已开放ThunderCore（TT）锁仓挖矿功能:据火币最新消息，火币矿池已于新加坡时间2020年5月19日18:00开启ThunderCore（TT）锁仓挖矿功能，最小锁仓数量为30,000个。在火币矿池锁仓ThunderCore（TT）享受双重奖励。第一重：“锁仓即挖矿”获得HPT。?第二重：持有HPT空投多币种。更多信息请关注火币矿池官方公告。[2020/5/19]
攻击地址:0xd041ad9aae5cf96b21c3ffcb303a0cb80779e358
攻击后跨链匿名化：https://etherscan.io/txs?a=0xd041ad9aae5cf96b21c3ffcb303a0cb80779e358
Agave被攻击tx：
0xa262141abcf7c127b88b4042aee8bf601f4f3372c9471dbd75cb54e76524f18e
动态 | ThunderCore 团队被曝分别向交易所 Upbit 和火币转出大量代币 引发社区恐慌:链闻消息，ThunderCore 电报群有社区成员曝出 ThunderCore 团队疑似在两天之前分别向交易所 Upbit 和火币转出 5000 万枚和 3000 万枚 ThunderCore 代币，并贴出疑似转币交易记录，引发社区中散户投资者恐慌。尽管 ThunderCore 团队在电报群中回应称，「团队没有抛售代币」，而是过去两周进行了业绩评估，将团队奖金以代币方式支付，但是为了保护团队成员隐私，所以为每一位成员创建了火币钱包地址，将代币奖金打入了火币地址进行相应分配，「团队是清白的，但是这种做法确实不是最明智的做法」。但是该说法未能解释向交易所 Upbit 转出 5000 万枚代币的原因，也未能打消社区中的出现的恐慌和批判声音。ThunderCore 最早的中文社区 ThunderFans 今日宣布停止运营，该社区公众号撰文表示，该项目团队「本身对去中心化没有敬畏之心、对投资人没有感恩之心、对市场没有认知之心、对支持者没有赤城之心」。截止发稿时，ThunderCore 首席执行官 Chris Wang 未回应相关问询。[2019/5/13]
攻击合约：0xF98169301B06e906AF7f9b719204AA10D1F160d6
攻击地址:0x0a16a85be44627c10cee75db06b169c7bc76de2c
攻击后跨链匿名化：https://etherscan.io/txs?a=0x0a16a85be44627c10cee75db06b169c7bc76de2c
2.2攻击流程
由于HundredFinance与Agave攻击流程与手法类似，因此我们使用HundredFinance进行分析。
HundredFinance攻击调用流程
1、攻击者利用合约在三个池子中利用闪电贷借出WXDAI和USDC
2、在WETH池子质押借出的部分USDC
3、利用重入利用一笔质押，超额借出池子中资金
4、重复质押-重入借出步骤，将其他两个池子资产超额借出
5、归还闪电贷
6、获利转移
2.3漏洞细节
导致本次问题的根本原因是由于在Gnosis链上的官方桥接代币xDAI合约中实现了一个对于to地址的回调(callAfterTransfer函数)
合约实现地址：
https://blockscout.com/xdai/mainnet/address/0xf8D1677c8a0c961938bf2f9aDc3F3CFDA759A9d9/contracts
该回调将直接导致重入漏洞的产生，同时由于在HundredFinance团队fork的Compound版本中没有严格遵循检查-生效-交互，进而导致了总借贷量更新晚于重入实现。最终攻击者得以超额借贷。
类似的，对于Agave项目方，攻击者利用liquidateCall函数内部调用会调用xDAI的?callAfterTransfer?方法进行回调，最终导致攻击者能再次进行借贷。
在HundredFinance攻击中攻击者重入的调用路径如下：
在Agave攻击中攻击者回调路径如下：
3.总结
此次遭受攻击的两个借贷项目由于错误的引入了存在重入的token，同时项目方的fork的代码没有采用检查-生效-交互模式导致了问题的发生。
我们强调：对于一个优秀的项目的引用必须建立在足够的理解和严谨的开发上，尤其是存在差异化的部分，切忌顾此失彼最终因为一个小的差错导致项目全部的损失。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。