TRA:被盜1億美元的Harmony 驗證者節點安全如何保障？_TERRAN

2022年6月24日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，由Layer1公鏈Harmony開發的以太坊與Harmony間的資產跨鏈橋Horizon遭到攻擊，損失金額約為1億美元。目前Harmony官方已通知交易所并暫停了Horizon跨鏈橋。成都鏈安安全團隊對此事件進行了分析，現與大家分享。

HarmonyBridge是一個跨鏈橋項目，由五個驗證者節點進行操作驗證，本次攻擊主要原因是由于兩個驗證者節點的私鑰疑似泄露，導致合約的confirmTransaction函數被成功調用。

數據：過去一周NFT交易額超1.13億美元，環比下降23%:7月23日消息，CryptoSlam數據顯示，過去一周，大約有464,900名買家在NFT上花費了超過1.135億美元，NFT交易額較上周下降23%；全網NFT交易量約220萬筆，環比下降1%；其中以太坊鏈交易額達7270萬美元，排名第一，比特幣鏈以900萬美元交易量排名第二；交易額排名前五的分別是Gods Unchained Cards（470萬美元）、DMarket（450萬美元）、BAYC（420萬美元）、CryptoPunks（410萬美元）以及Uncategorized Ordinals（320萬美元）。[2023/7/23 15:52:36]

萬事達卡在英國新的測試平臺上試行代幣化銀行存款:金色財經報道，萬事達卡正在建立一個測試平臺，被稱為多重代幣網絡（MTN），它將首先探索代幣化的銀行存款，并將于今年夏天在英國以測試模式推出。

萬事達卡的加密貨幣和區塊鏈主管Raj Dhamodharan說，一些銀行和金融機構正被邀請參與，MTN倡議將在適當的時候轉向擁抱中央銀行數字貨幣和受監管的穩定幣。[2023/6/29 22:06:54]

#攻擊過程

攻擊者地址：

0x0d043128146654C7683Fbf30ac98D7B2285DeD00

Web3音樂初創公司StemsDAO完成400萬美元種子輪融資:10月8日消息，Web3音樂初創公司StemsDAO宣布完成400萬美元種子輪融資，藝術家RAC和Boys Noize等參投。據報道，StemsDAO正在使用Web3社交圖譜協議Lens Protocol建立一個音樂消息家社區，他們可以一起創作曲目并以NFT形式發布歌曲，每個發行人都可以完全控制和了解他們的IP并隨著時間推移來使用IP。（Musically）[2022/10/8 12:49:19]

私鑰疑似泄露地址：

0xf845A7ee8477AD1FB4446651E548901a2635A915

路易斯安那州考慮采用加密貨幣:金色財經報道，根據位于路易斯安那州拉斐特的地區性報紙 The Daily Advertiser的一份報告，美國人口第 25 大的州正在創建一個加密貨幣采用委員會。路易斯安那州州眾議員馬克賴特提出了一項成立委員會的決議，在獲得眾議院撥款委員會的批準后，它必須在全院通過后才能進入路易斯安那州參議院。賴特還提出了一項法案，允許政客接受加密貨幣的競選捐款。這位共和黨議員認為，路易斯安那州可能成為加密領域的開拓者。（u.today）[2022/5/19 3:28:25]

0x812d8622C6F3c45959439e7ede3C580dA06f8f25

被攻擊合約：

0x715cdda5e9ad30a0ced14940f9997ee611496de6

示例哈希：

0x6e5251068aa99613366fd707f3ed99ce1cb7ffdea05b94568e6af4f460cecd65

被攻擊的transactionId:21106-21118(eth),120515-120518(bsc)

私鑰泄露地址0x812d......8f25地址調用了0x715c......6de6合約的confirmTransaction函數進行操作驗證，此處我們以被攻擊的transactionId：21107進行分析。

可以發現在本次交易中，isConfirmed的驗證返回為true。

但是我們在合約中進行驗證者節點查詢會發現，雖然owner有五個，但是僅有兩名驗證者進行了驗證。

攻擊者就利用這兩個驗證者節點成功使用external_call獲取了相應的代幣，并反復利用此攻擊來獲利。

后續項目方通過transactionId為21126的交易將驗證者節點confirm通過的數量從2改為了4。

#資金追蹤

本次攻擊事件以太坊上損失了85,867個ETH，990個AAVE和78,500,000個AAG，BSC上損失了5,000個BNB和640,000個BUSD，共計約100,428,116美元，目前被盜資金還保存在攻擊者地址。成都鏈安將用鏈必追對被盜資金進行持續追蹤。

#事件總結

這次攻擊事件中，攻擊者利用了驗證者節點驗證通過需求數量較少的情況，利用兩個驗證者節點從而盜取了上億美金的資產。建議項目方在設計驗證者節點驗證數量需求盡量選擇較多節點，并且做好驗證者節點的節點安全。此外建議項目上線前選擇專業的安全審計公司進行全面的安全審計，規避安全風險。

來源：金色財經

Tags：RANNFTTRAACTTERRANNFTMDarexTravelTesseract

FIL