STR:慢霧發布TitanoFinance被黑簡析，owner角色可任意設置setPrizeStrategy函數_MarblePrix

安全機構慢霧科技發布TitanoFinance被黑簡析，2022年2月14日，BSC鏈上的TitanoFinance項目遭受攻擊，慢霧安全團隊分析認為：

1.在2022-02-1018:48:04(UTC)，攻擊者創建了相關的攻擊合約(0x1866207c355d4c6e0b03b4dc0bf9c658f4d13f8a)；

2.在2022-02-144:36:21(UTC)，攻擊者調用第一步中的0x186620合約中的createMultipleWinnersFromExistingPrizeStrategy函數創建了惡意的prizeStrategy合約0x49D078d25b08f2731cBf5AF8e8CDF1eA3E0a2046；

聲音 | 慢霧余弦：區塊鏈安全漏洞引起的財產損失未來將進一步擴大:據算力智庫微信公眾號文章，公開資料數據顯示，2011-2019年之間，由區塊鏈安全漏洞引起的損失高達84億美元。其中，交易所是重災區，占比近一半。對此，慢霧余弦表示，一方面，交易所的門檻比以往低了很多，而安全防護水平又層次不齊，對于地下黑客來說那就是滿地黃金。此外，這一數據的背后體現了了人們對加密貨幣市場，對區塊鏈的認同。基于這個共識，行業規模擴大，錯誤也隨之放大。未來這一數據增幅還將繼續擴大。對于中心化的交易所而言，會受到傳統行業的攻擊，如服務器、辦公網等，也和公鏈、智能合約有關。每一環都有可能存在的安全問題。他建議把IT建設的預算中拿出15%-20%作為安全預算，其中包括人員的成本維護，殺軟件，防火墻的購置等。但是這并不代表你配置了這些就一定不會被黑。拋開攻防博弈成本去看待這個問題是不客觀的。你每投入一定的比例，那攻擊門檻則相對提高了一個臺階。相對來說你被黑的概率會低很多，但我們這個行業沒有人可以給出這樣的一個永不被黑的承諾。[2019/10/30]

3.在2022-02-144:39:12(UTC)，StakePrizePool合約(0x4d7f0a96967dce1e36dd2fbb131625bbd9106442)中，owner(0xc8abdb16fd6040c76dfd9b5186abfdc3b96df4b8)調用了setPrizeStrategy函數(該函數僅owner可以調用)，使得_prizeStrategy被改成了0x49D078d25b08f2731cBf5AF8e8CDF1eA3E0a2046；

聲音 | 慢霧科技余弦：攻擊者通過同樣的手機號搞定目標用戶在 Coinbase 上的權限:慢霧科技創始人余弦針對最近數字貨幣交易平臺的 SIM 卡轉移攻擊發文稱，前些天有人的 Coinbase 賬號遭遇了 SIM Port Attack（SIM 卡轉移攻擊），損失了超過 10 萬美金的數字貨幣，很慘痛。攻擊過程大概是：攻擊者通過社會工程學等手法拿到目標用戶的隱私，并到運營商欺騙得到一張新的 SIM 卡，然后通過同樣的手機號輕松搞定目標用戶在 Coinbase 上的權限。SIM 都被轉移了，這就很麻煩了，基本來說我們很多在線服務都是通過手機號來做的二次驗證或直接身份驗證，這是一個非常中心化的認證方式，手機號成為攻擊的弱點。這個攻擊以前在國內也有不少案例，運營商的風控策略也越來越強大，但策略這東西總是有繞過方式，這種方式主要就是社會工程學，當然也不排除其他方式的結合。不是我不信任運營商或中心化服務，而是這種重要的資產，大家要更加謹慎了，大額的數字貨幣是不是應該有更安全的存放方式？相關平臺的安全風控策略是不是也該多琢磨如何再提升提升？[2019/5/27]

4.在2022-02-144:41:51(UTC)，接著攻擊者調用了所創建的惡意的prizeStrategy合約(0x49D078)中的_awardTickets函數，該函數調用了prizePool合約中(0x4d7f0a)的award函數，該函數需要滿足onlyPrizeStrategy修飾器條件(_msgSender()==address(prizeStrategy))，該函數會給指定的to地址mint指定數量的ticket代幣(TicketTitano(TickTitano)；此時prizePool合約中的_prizeStrategy已經在上一步被修改成0x49D078，滿足onlyPrizeStrategy的條件，于是StakePrizePool合約給攻擊者mint了32,000,000個ticket代幣；

動態 | 慢霧區再發預警，請 DApp 開發者自查隨機數:知名 DApp EOSDice 再次由于隨機數問題被黑，攻擊者是之前攻擊 EOSDice 及 FFGame DApp 的黑客，攻擊手法也是由于使用了可控的隨機數種子，在之前（11-8號）慢霧已經預警過攻擊手法，請各位 DApp 開發者仔細核對自己的隨機數種子和算法是否可被預測，勿存在任何僥幸。[2018/11/10]

5.在2022-02-144:43:18(UTC)，StakePrizePool合約(0x4d7f0a)中，owner再次調用了setPrizeStrategy函數，將_prizeStrategy改回0x5739f9F8C9Fc9854a5B6f3667a6fB14144DC40A7；

6.最后攻擊者調用StakePrizePool合約(0x4d7f0a)中的withdrawInstantlyFrom函數將ticket代幣換成Titano代幣，然后在pancake池子中把itano換成BNB，攻擊者重復了這個過程8次,最后共獲利4,828.7BNB，約1900w美元。

據慢霧MistTrack分析，攻擊者最初的獲利地址為0xad9217e427ed9df8a89e582601a8614fd4f74563，目前被黑資金已被攻擊者轉移到其他23個錢包。此次主要由于owner角色可以任意設置setPrizeStrategy函數，導致了池子被設置成惡意的PrizeStrategy合約造成后續利用。對此，慢霧安全團隊建議，對于敏感的函數操作，建議采用多簽錢包的角色來操作，或者把owner角色權限移交給社區管理。

Tags：IZEPRITRASTRNoah Decentralized State CoinMarblePrixTRAC價格Dogestribute

TRX