ETH:Titano Finance攻擊事件分析_bZx Vesting Token

前言

北京時間2022年2月14日晚，TitanoFinance遭到攻擊，損失3200萬TITANO代幣。知道創宇區塊鏈安全實驗室?第一時間跟蹤本次事件并分析。

分析

基礎分析

攻擊者地址：0xad9217e427ed9df8a89e582601a8614fd4f74563

AssangeDAO已籌集超過12000枚ETH，已超過ConstitutionDAO:2月7日消息，為解放維基解密創始人朱利安·阿桑奇而戰的加密朋克團體AssangeDAO已通過JuiceBox平臺籌集超過12000枚ETH，現已達到12441枚ETH，超過了ConstitutionDAO（People）籌集的11613枚ETH。

AssangeDAO旨在籌集ETH以換取$JUSTICE治理代幣，以競標由數字藝術家Pak與JulianAssange合作制作的1/1NFT。從NFT出售中籌集的收益將用于為朱利安·阿桑奇進行辯護的基金，用于支付法律費用和提高人們對朱利安引渡案的認識的宣傳活動。[2022/2/7 9:35:32]

攻擊者創建合約MultipleWinnersProxyFactory：0x940151f5bbbcda5b1b482592d816e96f80d6073a

動態 | BIMG和UCLA推動的BIMG Institute正式成立:2018全球媒體區塊鏈峰會上，BIMG和UCLA牽頭推動的BIMG Institute正式成立，Alex Liu, Daniel Ding, David Zhang, Richard lee, Leon Smith上臺啟動創立儀式，這標志著BIMG Institute將依托全球頂尖高校建立頂尖區塊鏈智庫，深入開展全球區塊性區塊鏈學術與產業研討會。[2018/8/14]

攻擊者創建合約MultipleWinnersBuilder：0x1866207c355d4c6e0b03b4dc0bf9c658f4d13f8a

Bitit添加XRP、LTC:Bitit官方發布消息，已經添加XRP、LTC。Bitit是一個數字貨幣交易平臺，此前只支持BTC、ETH。XRP現全球均價6.11元，24小時跌幅1.52%；LTC現全球均價1235.97元，24小時跌幅2.44%。[2018/3/6]

攻擊者創建合約MultipleWinners：0x49d078d25b08f2731cbf5af8e8cdf1ea3e0a2046

官方合約StakePrizePool：0x4d7f0a96967dce1e36dd2fbb131625bbd9106442

漏洞分析

此次事件，漏洞關鍵在于官方StakePrizePool合約中的setPrizeStrategy方法被攻擊者所利用，但該方法只有管理員才有權限進行操作。

隨后攻擊者將合約中的_prizeStrategy地址設置為攻擊者創造的合約MultipleWinners的地址

獲得權限后，攻擊者使用MultipleWinners合約中的_awardTickets方法鑄造了3200萬TicketTitano代幣到攻擊者地址

攻擊者獲取代幣后，將代幣進行轉換，最終通過PancakeSwap將其轉換為BNB，隨后分散資金到各個地址

總結

本次攻擊事件核心原因在于官方StakePrizePool合約中的僅管理員調用方法被惡意利用，成因或許是項目方管理地址泄露，也可能是掌握管理員私鑰的人監守自盜。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：TITSTIETHPLEtitan幣值得投資嗎bZx Vesting Tokenethereal寓意之類的詞cple幣現在值多少錢

幣安幣