Superfluid_HQ被黑分析

安全實驗室?監測到以太坊上的DeFi協議superfluid遭遇黑客攻擊，損失超1300萬美元。實驗室第一時間跟蹤本次事件并分析。

攻擊涉及基礎信息

Superfluid：0xEBbe9a6688be25d058C9469Ee4807E5eF192897f

射擊游戲Superpower Squad估值5000萬美元完成私募輪融資:金色財經消息，第三人稱射擊游戲Superpower Squad以5000萬美元估值完成私募融資，KuCoin Labs領投，EVG、Ankr等參投。

據悉，Superpower Squad是一款以超級英雄為主題的第三人稱射擊游戲，擁有超過60人的團隊。該游戲包括MOBA、RPG、Roguelike、社交聊天功能和排名系統等特征，以及PVP和PVE等其他游戲模式，擁有英雄、武器、皮膚等多種資產。目前其測試版已上線Android平臺，iOS版本也將于近期推出。（Business Wire）[2022/6/9 4:13:52]

攻擊交易hash：0x396b6ee91216cf6e7c89f0c6044dfc97e84647f5007a658ca899040471ab4d67

Rikkei Finance與跨鏈預言機解決方案SupraOracles達成合作:1月4日消息，元宇宙DeFi協議Rikkei Finance與跨鏈預言機解決方案SupraOracles達成合作，旨在為用戶帶來安全的借貸系統。

據此前報道，DeFi借貸平臺Rikkei Finance完成560萬美元融資，HyperChain Capital、Kyber Network、Signum Capital、PNYX、X21digital.com、LD Capital、Tomochain、Kernel Ventures、Trade Coin VietNam、Coin98、Kyros Ventures (Coin68)、YBB Foundation、ArkStream Capital和Inclusion Capital等參投。[2022/1/4 8:23:58]

黑客地址：0x1574F7F4C9d3aCa2EbcE918e5d19d18aE853c090

區塊鏈系統Superfluid完成 900 萬美元融資，Multicoin Capital領投:區塊鏈系統Superfluid在 Multicoin Capital 牽頭的一輪融資中籌集了 900 萬美元，Semantic Ventures、DeFiance Capital、Delphi Digital等參投。（coindesk）[2021/7/13 0:49:18]

攻擊合約地址:0x32D47ba0aFfC9569298d4598f7Bf8348Ce8DA6D4

此次漏洞核心在于函數callAgreement,該函數主要作用在于提供一個名為"ctx"的數據結構，“ctx”被用于協議間的通信共享。而此次事件的攻擊者就是對”ctx“數據進行了偽造，達到欺騙合約的目的。

漏洞利用

為什么假數據會被采用以及攻擊者是如何構造假“ctx”數據的？

從交易中可以看到攻擊者是直接在callData結尾處傳入了假“ctx”，同時真“ctx”數據也被構建出來了的，只是程序在處理數據時會將callData數據與“ctx”打包成一個對象，當協議對該對象進行解碼時，ABI解碼器僅會處理位于前面的數據而忽略掉后面的數據。

而構建一個假“ctx”數據也并不復雜，由于“ctx”結構末尾為全零所以僅需要仿照“ctx”結構將其直接添加在userData中，以下是官方示例如何構建一個假“ctx”：

總結

本次攻擊事件在于協議數據處理時無條件信任來源數據，應當對用戶數據與官方構造數據進行標識區分。近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：CTXTALITASUPProjectXPeseta DigitalItalian Lirasuperunion

以太坊價格今日行情