QUO:小缺陷大損失 ，GYM Network何至于此 ？-ODAILY_owbnb

前言

北京時間2022年6月8日，知道創宇區塊鏈安全實驗室自動數據監測工具監測到BSC鏈上NFT項目GYMNetwork因"PublicdepositFromOtherContract"權限控制問題被攻擊，損失包括7475枚BNB，共計約216W美元，目前已將兌通過DEX換70W美元的ETH通過Celer跨鏈到以太坊，2000枚BNB利用BSC-Tornado進行混幣，余下3000枚BNB在攻擊者地址。

知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。

基礎信息

被攻擊合約：0x0288fba0bf19072d30490a0f3c81cd9b0634258a

LayerZero：CEO Bryan Pellegrino推特賬戶被盜，請勿參與可疑活動:7月5日消息，跨鏈互操作性協議LayerZero官方表示，CEO Bryan Pellegrino的推特賬戶被盜，請勿點擊任何可疑鏈接或參與可疑活動。如果有人可以與推特取得聯系，請聯絡我們。[2023/7/5 22:18:22]

攻擊者地址：0xB2C035eee03b821cBe78644E5dA8B8eaA711D2e5

攻擊合約：0xcD337b920678cF35143322Ab31ab8977C3463a45、0x68b5f1635522ec0e3402b7e2446e985958777c22

tx：0xfffd3aca0f53715f4c76c4ff1417ec8e8d00928fe0dbc20c89d875a893c29d89

Celsius獲準從7月1日起將山寨幣轉換成BTC和ETH:金色財經報道，Celsius周五獲準開始清算其山寨幣，紐約南區的破產法官Martin Glenn批準Celsius在與美國證券交易委員會（SEC）討論后提出的這一舉措，該委員會最近表示，一系列不太常用的加密代幣構成了證券，其處理需要監管部門批準。

Celsius于2022年7月倒閉，其出售給加密貨幣財團Fahrenheit的交易于5月獲得批準。其正在準備一個更新的破產計劃，除了有限的例外，不會涉及向BTC或ETH以外的債權人分配加密貨幣。[2023/7/1 22:11:23]

GymSinglePool代理合約:0xa8987285e100a8b557f06a7889f79e0064b359f2

漏洞分析

項目方在GymSinglePool合約中實現過程中對于0x0288fba0bf19072d30490a0f3c81cd9b0634258a#depositFromOtherContract函數缺少了權限控制，導致攻擊者能夠通過該函數調用內部_autoDeposit函數實現零消耗質押：

美國總統拜登呼吁實施更嚴格的全球加密貨幣監管:金色財經報道，在FTX崩潰之后，全球監管機構正在就實施全球加密貨幣監管進行談判。為防止再次發生類似FTX的事件并保護投資者和其他實體，美國拜登總統已經就加密貨幣領域發表了他的看法。在一份聲明中表示，“建立公眾的風險意識、加強監管成果并支持公平競爭環境，同時利用創新的好處，這一點至關重要。”該聲明進一步指出，確保加密資產生態系統，包括各種穩定幣，受到密切監控，以減輕金融穩定的潛在風險。[2022/11/21 7:50:16]

對于應該開放給用戶的質押內部函數是_deposit函數，該函數實現了對于token的審批傳入，如下圖所示：

BNB Chain為拉丁美洲開發者推出Web3開發課程:8月17日消息，據外媒報道，BNB Chain和拉丁美洲教育平臺Platzi宣布其將聯合為該地區推出Web3開發課程。到今年年底，該課程的目標是為3萬名學生提供服務。

BNB Chain投資總監Gwendolyn Regina表示：“我們將使用BNB Chain為Web2開發者提供Web3上的主要西班牙語教育資源。”（Cointelegraph）[2022/8/17 12:31:04]

對應的_autoDeposit函數則實現了"特權"質押，即不需要轉入Token進行質押。同時該函數直接暴露給了用戶，函數對比如下：

RippleNet 總經理 Asheesh Birla 宣布辭職:6月9日消息，RippleNet 總經理 Asheesh Birla在 Twitter 宣布辭職，Birla 于 2013 年加入這家總部位于舊金山的公司。作為公司創始團隊的成員，他負責開發區塊鏈驅動的跨境支付解決方案RippleNet 。Birla 將 On-Demand Liquidity 解決方案（前身為 xRapid）的推出描述為公司的“巨大里程碑”，該產品允許使用 XRP 作為橋梁貨幣來即時結算法定支付。雖然 Birla 尚未決定他的下一個職業發展方向，但他將與美國前財長 Rosie Rios 和摩根大通資深人士 Sandie O'Connor 一起成為 Ripple 的董事會成員。Ripple 首席執行官 Brad Garlinghouse 表示，另一位高管 Monica Long 將接任 Birla 領導 RippleNet 和 RippleX。（u.today）[2022/6/10 4:15:17]

攻擊流程

攻擊者為了防止鏈上MEV和搶跑機器人，將合約進行了分步部署執行，同時部署/調用了多次以完成對GymNetwork合約(0x3a0d9d7764FAE860A659eb96A500F1323b411e68)中的GYMNETToken完全抽離，以其中一筆部署調用為例：

1.部署合約后調用depositFromOtherContract實"特權"質押，對應0xfd4a2266方法：

內部調用細節如下:

2.調用0x30649e15實現對上一步特權質押的Token回撤：

3.利用0x1d111d13函數售出獲取到的的GYM-Token：

重復多次"特權"質押--回撤--售出步驟，攻擊者最終獲取到7475枚BNB:

為了抑制搶跑，攻擊者將添加質押和回撤進行了步驟分離，兩個步驟均為核心操作，同時刻意提高添加部分步驟的GasPrice為15/20gwei,可見攻擊者是有意為之。

溯源處置

本次攻擊原因是項目方實現的特權函數權限控制不當，在攻擊發現的1小時后項目方將GymSinglePool代理合約的邏輯合約進行了多次修改，為其添加了權限控制：

并在20分鐘后對邏輯合約添加了緊急賬戶處置函數：

而對于項目方Deployer地址分析，其部署的多個GymSinglePool合約根據追蹤僅在兩天前部署的GymSinglePool合約中存在漏洞，4天前的合約則不存在此函數：

同時代理合約對應的邏輯合約被升級為漏洞合約的事件發生在在2days13hrsago：

攻擊者的資金準備(FromTornado)則在約6小時以前，攻擊者的身份也值得令人深思。

總結

雖然只是一處小的控制缺陷，卻導致了數百萬美元的損失。項目方的處置雖較為及時，漏洞導致的損失卻難以挽回。該類型漏洞在審計過程中很容易被發現并將歸納到邏輯缺陷/不安全的外部調用，各項目方在開發和審計流程上切莫大意。

Tags：GYMQUOBNBDEPGYMAIQUON幣owbnbDEPAY

火幣下載