POS:Meter.io 攻擊事件分析_POSW價格

前言

北京時間2022年2月5日晚，Meter.io 跨鏈協議遭到攻擊，損失約 430 萬美元。知道創宇區塊鏈安全實驗室 第一時間跟蹤本次事件并分析。

分析

基礎信息

tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591

Meta計劃降薪同時重啟績效考評:3月29日消息，據報道，社交媒體平臺“臉書”的母公司Meta計劃調低部分員工獎金，并重啟每年兩次的員工績效考核制度。通常情況下，該公司員工連續兩個業績考核期獲得低評級，就得離職。據《華爾街日報》報道，在最新一輪業績考核中，上千名員工得到低于平均水平的評級。[2023/3/29 13:33:41]

攻擊者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01

Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001

NEAR基金會與Kakao Games旗下Web3游戲METABORA SG達成合作:3月6日消息，NEAR基金會和Kakao Games旗下Web3游戲項目METABORA SINGAPORE（簡稱METABORA SG）簽署了一份戰略諒解備忘錄。

根據協議條款，NEAR和METABORA SG將相互合作以發掘一個基于IP的全球Web3聯合業務，通過跨鏈提高區塊鏈生態系統的整體流動性，提高品牌知名度，通過賽事推動全球營銷，建立一個積極的支持系統以加強核心網絡。（PR Newswire）[2023/3/7 12:45:41]

ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51

Metal Pay已申請美國全國性銀行執照:金色財經報道，點對點加密支付平臺Metal Pay已于2月3日向美國貨幣監理署（OCC）提交申請，旨在成為美國全國性銀行。過去兩個月來，OCC良好的加密銀行指南吸引了大量申請，Paxos、BitPay和Metal Pay都在尋求OCC批準。上個月，Anchorage成為了第一家獲得有條件批準的國家信托執照的加密貨幣公司。[2021/2/5 18:56:06]

漏洞原理

漏洞關鍵在于跨鏈橋合約的deposit函數中，deposit函數會根據resourceID取相應的depositHandler，并調用deposit函數進行實際的質押邏輯。

而在depositHandler的deposit函數中，存在邏輯缺陷，當tokenAddress不為_wtokenAddress地址時進行 ERC20 代幣的銷毀或鎖定，若為_wtokenAddress則直接跳過該部分處理。

該存在缺陷的邏輯判斷可能基于在跨鏈橋合約中的depositETH函數會將鏈平臺幣轉為wToken后轉至depositHandler地址，所以在depositHandler執行deposit邏輯時，已處理過代幣轉移，故跳過代幣處理邏輯。

但跨鏈橋合約的deposit函數中并沒有處理代幣轉移及校驗，在轉由deposiHandler執行deposit時，若data數據構造成滿足tokenAddress == _wtokenAddress即可繞過處理，實現空手套白狼。

總結

本次攻擊事件核心原因在于 Meter.io 跨鏈橋 depositHandler質押處理器中，存在邏輯判斷缺陷，滿足了跨鏈橋合約depositETH的邏輯場景，但忽視了deposit邏輯場景存在繞過缺陷。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：DEPDEPOPOSPOSIDEPEPOSW價格posi幣是哪國的項目

以太坊最新價格