BSC 鍊和以太坊上的UmbNetwork 獎勵池遭到黑客攻擊,損失約70 萬美元。一、前言
北京時間2022 年3 月21 日,知道創宇區塊鏈安全實驗室監測到BSC 鍊和以太坊上的UmbNetwork 獎勵池遭到黑客攻擊,損失約70 萬美元。實驗室第一時間對本次事件進行跟踪並分析。
二、基礎信息
攻擊者地址:0x1751e3e1aaf1a3e7b973c889b7531f43fc59f7d0
攻擊合約:0x89767960b76b009416bc7ff4a4b79051eed0a9ee
StakingRewards 合約: 0xB3FB1D01B07A706736Ca175f827e4F56021b85dE
以太坊交易哈希:
0x33479bcfbc792aa0f8103ab0d7a3784788b5b0e1467c81ffbed1b7682660b4fa
BSC 交易哈希:0x784b68dc7d06ee181f3127d5eb5331850b5e690cc63dd099cd7b8dc863204bf6
三、漏洞分析
此次事件,漏洞關鍵在於UmbNetwork 獎勵池的StakingRewards 合約中的_balance 函數出現溢出漏洞,合約未校驗檢查balance 的值,攻擊者通過amount 發起下溢攻擊,抽空了池子中的代幣。
從合約代碼我們可以看出,合約未正確使用SafeMath 安全庫且未作溢出檢查,導致此次攻擊發生。
四、攻擊流程
攻擊者從BSC 鏈發起攻擊獲取156 枚pancake-LP 代幣:
攻擊者在以太坊上發起攻擊獲取8792 枚UNI-V2 代幣:
隨後攻擊者分別將代幣轉分別換成ETH、UMB 和BNB ,獲利約70 萬美元。
五、分析
本次攻擊事件核心是由於合約未正確使用SafeMath 庫並且未對合約進行溢出檢查導致合約出現溢出漏洞,而導致了此次事件的發生,建議項目方多加註意檢查合約是否正確使用各類安全庫。
近期,各類合約漏洞安全事件頻發,合約審計、風控措施、應急計劃等都有必要切實落實。
展開全文打開碳鏈價值APP 查看更多精彩資訊