Furucombo此次事故并不在安全漏洞的范畴内，主要的原因在于官方将未启用的AaveV2Proxy合约添加进了自己的白名单中，并且未对AaveV2Proxy合约进行初始化，导致攻击者有机可乘。与Furucombo交互过的用户应及时撤销相关授权，避免进一步损失。
据链闻消息，著名DeFi项目Furucombo被黑，损失约1500万美元。慢雾安全团队第一时间介入分析，并将攻击细节分享给大家。
攻击细节分析
本次发生问题的合约在Furucombo本身的代理合约当中。整个攻击流程很简单。攻击者通过设置了Furucombo的AaveV2Proxy的逻辑地址导致后续通过Furucombo代理合约调用的逻辑全部转发到攻击者自己的恶意合约上，导致任意资金被盗。
GameStop宣布解雇其CEO Matt Furlong:6月8日消息，根据该公司今天发布的一份声明，在与该公司合作两年后，美国游戏零售商游戏驿站（GameStop）首席执行官Matt Furlong已被解雇，继任者尚未任命，但已任命董事会主席Ryan Cohen为其执行主席。根据向美国证券交易委员会(SEC)提交的10-Q文件，前GameStop总法律顾问Mark robinson已被任命为该公司的总经理和首席执行官。[2023/6/8 21:23:32]
但是如果事情那么简单，那么本次分析不值一提。问题远比想象的复杂得多。
如上图所示攻击者的入口在Furucombo的batchExec函数，我们先对batchExec函数进行分析：
Infura宣布其IPFS产品将于2023年1月9日进行必要维护:12月24日消息，Infura宣布，IPFS产品将于2023年1月9日进行必要的维护。这会影响任何与pins的API交互，特别是 /api/v0/add；启用“仅显示固定内容”安全功能的专用网关。Infura估计该服务将部分不可用约30分钟。[2022/12/24 22:04:20]
以上是FurucomboProxy合约的batchExec函数的具体实现，其中_preProcess和_postProcess合约分别是对调用前后做一些数据上的处理，不涉及具体的调用逻辑，这边可以先忽略。我们主要观察核心的_execs函数：
Infura：大多数主网子系统恢复正常运行，重新启用核心帐户访问权限:Ethereum和IPFS的API服务供应商Infura对Ethereum Mainnet API服务暂时中断事件更新称，正在继续进行服务恢复工作。大多数主网子系统现在都恢复正常运行，但是官方仍在继续分类并检查每个子系统。Infura已重新启用了核心帐户的访问权限。目前，存档请求仍处于禁用状态，但我们希望不久后它们将再次可用。[2020/11/11 12:21:17]
通过对execs代码的分析不难发现，函数的主要逻辑是对configs数组的数据做检查，并根据configs数组的数据对data进行一些处理。但是回顾上文中攻击者的调用数据，不难发现攻击者的调用数据中，configs的数据是一个0地址：
Bitfury与LIAN Group合作推出加密挖矿即服务:金色财经报道，加密货币矿业公司Bitfury已与私募股权公司LIAN Group建立了合作伙伴关系，使其可以升级在挪威现有的3500万美元的区块链基础设施。根据LIAN Group 11月2日发布的声明，该公司已与Bitfury合作推出了MaaS（挖矿即服务）业务。[2020/11/5 11:41:00]
这里有一个trick，由于0地址是一个EOA地址，所有对EOA地址的函数调用都会成功，但是不会返回任何结果。结合这个trick，execs函数中的关于configs数据的部分可以先暂时忽略。直接看到最后的核心_exec函数：
由Bitfury支持的矿业公司将上市多伦多交易所:彭博社报道，由Bitfury支持的矿业公司Hut 8 Mining Corp将于本月晚些时候在总部位于多伦多的多伦多证券交易所创业交易所上市。早在去年12月，Hut 8就宣布它将与Bitfury合作，以“获得，建立，维护和运营北美最大的比特币挖掘数据中心”。去年12月，该公司在私募融资中提供了1320万股股票，欲筹集3300万美元。后据环球邮报1月份报道，该公司最终筹集了3800万美元。[2018/2/13]
_exec函数的逻辑也很简单，在校验了_to地址后，直接就将data转发到指定的_to地址上了。而通过对攻击交易的分析，我们能发现这个_to地址确实是官方指定的合法地址。
最后一步，便是调用_to地址，也就是官方指定的AaveV2Proxy合约的initialize函数，将攻击者自己的恶意地址设置成AaveV2Proxy合约的逻辑地址。通过对Furucombo合约的分析，可以发现整个调用流程上没有出现严重的安全点，对调用的地址也进行了白名单的检查。那么问题只能是出在了对应要调用的代理逻辑上，也就是AaveV2Proxy合约。
我们直接分析AaveV2Proxy合约的initialize函数的逻辑：
可以看到initialize函数是一个public函数，并在开头就检查了_implementation是否是0地址，如果是0地址，则抛出错误。这个检查的目的其实就是检查了_implementation是否被设置了，如果被设置了，就无法再次设置。根据这个设置，不难想出initialize这个函数只能调用一次。除非AaveV2Proxy从来没有设置过_implementation，否则这个调用是不会成功的。难道Furucombo真的没有设置过对应的_implementation吗？带着这样的疑问，我们检查了交易内的状态变化。如下：
可以看到，交易中改变了存储位置为0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc的内容，而写入的内容正是攻击者自己的恶意合约地址0x86765dde9304bea32f65330d266155c4fa0c4f04。
而0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc这个位置，正是_implementation数据的存储地址。
也就是说，官方从来没有设置过AaveV2Proxy合约的_implementation地址，导致攻击者钻了这个空子，造成了Furucombo资产损失。
总结
通过对整个事件的分析来看，Furucombo此次事故并不在安全漏洞的范畴内，主要的原因在于官方将未启用的AaveV2Proxy合约添加进了自己的白名单中，并且未对AaveV2Proxy合约进行初始化，导致攻击者有机可乘。
建议
目前，由于Furucombo遭受攻击，导致任何将代币授权过给Furucombo合约(0x17e8ca1b4798b97602895f63206afcd1fc90ca5f)的用户都将面临资金损失的风险。
慢雾安全团队建议与Furucombo交互过的用户检查是否有将相关代币授权给Furucombo合约。如有授权，应及时撤销相关授权，避免进一步损失。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。