DEP:Meter.io攻擊事件分析_DEPI

前言

北京時間2022年2月5日晚，http://Meter.io?跨鏈協議遭到攻擊，損失約430萬美元。知道創宇區塊鏈安全實驗室?第一時間跟蹤本次事件并分析。

分析

基礎信息

tx：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591

哥倫比亞成為世界上首批在Meta元宇宙中舉辦法庭聽證會的國家:金色財經報道，哥倫比亞上周成為世界上首批在Meta元宇宙中舉辦法庭聽證會的國家之一，該南美國家在Horizon Workrooms中舉行了兩個小時的法庭聽證會并在YouTube上進行了直播，據參加虛擬會議的人稱本次元宇宙聽證會取得了成功，馬格達萊納法院法官María Victoria Qui?ones Triana表示使用元宇宙技術加快了司法執法過程。（decrypt）[2023/2/24 12:26:22]

攻擊者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01

馬斯克成首位烏克蘭NFT博物館MetaHistory名人堂成員:4月30日消息，特斯拉首席執行官伊隆·馬斯克成為第一個入選烏克蘭 NFT 博物館 MetaHistory 名人堂的人。MetaHistory 旨在區塊鏈上紀念對其支持的商人、藝術家等，除了馬斯克之外，其他一些入選者包括：Mila Kunis、Elton John、Jared Leto、Jim Carrey 和 Benedict Cumberbatch，他們的 NFT 肖像將會在名人堂展示。（Bitcoin.com）[2022/4/30 2:42:24]

Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001

美股高開納指漲1.79% Meta Platforms大漲16%:4月28日消息，美股三大指數集體高開，道指漲0.51%，納指漲1.79%，標普500指數漲1.21%。Meta Platforms大漲16%，公司一季度財報顯示凈利潤與用戶數均超預期。[2022/4/28 2:37:50]

ERC20Handler：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51

漏洞原理

漏洞關鍵在于跨鏈橋合約的?deposit?函數中，deposit?函數會根據?resourceID?取相應的depositHandler，并調用?deposit?函數進行實際的質押邏輯。

而在?depositHandler?的?deposit?函數中，存在邏輯缺陷，當?tokenAddress?不為?_wtokenAddress?地址時進行ERC20代幣的銷毀或鎖定，若為?_wtokenAddress?則直接跳過該部分處理。

該存在缺陷的邏輯判斷可能基于在跨鏈橋合約中的depositETH函數會將鏈平臺幣轉為wToken后轉至depositHandler地址，所以在depositHandler執行deposit邏輯時，已處理過代幣轉移，故跳過代幣處理邏輯。

但跨鏈橋合約的deposit函數中并沒有處理代幣轉移及校驗，在轉由deposiHandler執行deposit時，若data數據構造成滿足tokenAddress==_wtokenAddress即可繞過處理，實現空手套白狼。

總結

本次攻擊事件核心原因在于?http://Meter.io?跨鏈橋?depositHandler質押處理器中，存在邏輯判斷缺陷，滿足了跨鏈橋合約depositETH的邏輯場景，但忽視了deposit邏輯場景存在繞過缺陷。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：POSIPOSDEPODEPposi幣的怎么樣posi幣是哪國的項目DEPI

火幣交易所