2022年9月18日,以太坊合并完成后,PoW鏈遭到PoS鏈上交易的重放攻擊,根本原因是網橋未正確讀取并驗證區塊鏈的chainid。攻擊者首先通過Gnosis鏈的Omni跨鏈橋轉移了200 WETH,然后在PoW鏈上重放了相同的消息,獲得了額外的200 ETHW。
SharkTeam對此事件進行了技術分析,并總結了安全防范手段,希望后續項目可以引以為戒,共筑區塊鏈行業的安全防線。
該事件涉及兩個不同鏈的交易hash以及攻擊者地址,分別如下:
加拿大監管機構提醒該國公民警惕以假監管機構背書的加密平臺:6月21日消息,加拿大證券管理局發布投資者警告,稱建議加拿大公民仔細檢查加密貨幣交易服務提供商,因為這些平臺可能會使用“虛構的”監管機構來提高其可信度。一些“所謂的”加密平臺聲稱得到了某些監管機構或爭議解決組織的批準,“以顯得合法”;這些網站乍一看似乎是可信的,涉及投訴處理、糾紛解決和為受害投資者提供補救措施,但經過仔細檢查,這些網站的語言可能很尷尬且未經修飾,存在拼寫、語法或句法錯誤,這是非法實體的常見‘危險信號。
監管機構還建議,考慮投資加密貨幣的公民應該將這些公司與在CSA注冊的公司進行對比檢查。目前,有12個加密交易平臺被授權在加拿大開展業務,而有11個平臺已經提交了預注冊承諾。[2023/6/21 21:52:03]
(1)PoS鏈交易hash:0xbddb0cc8bc9949321e1748f03503ed1a20dd618fbf0a51dc5734c975b1f8bdf5
IOHK官方提醒警惕以免費ADA贈送為名義的欺詐活動:Cardano開發團隊IOHK發推特稱,請注意,我們發現近期YouTube和其他社交渠道上的欺詐活動顯著增加。記住,IOHK永遠不會舉辦“贈品”促銷活動。任何為你提供免費ADA的都是騙子,他們試圖竊取你的資金。[2020/7/13]
(2)PoW鏈交易hash:0x9c072551861ce384203516f4d705176a2d2e262d5b571d853467425f1a861fb4
聲音 | 延邊州金融辦:警惕以投資“虛擬貨幣”“區塊鏈”等為幌子的投資理財騙局:延邊州金融辦發布風險提示,提醒群眾務必警惕部分投資”、“理財”項目。其中包括以投資“虛擬貨幣”“區塊鏈”等為幌子的。[2019/7/25]
(3)攻擊者地址:0x82FaEd2dA812D2E5CCed3C12b3baeB1a522DC677
首先,我們對比發現兩筆交易訪問的合約相同,并且inputdata完全相同,即調用了同一個合約的同一個函數并且參數相同,根據相同的方法簽名ID 0x23caab49可知,黑客調用safeExecuteSignaturesWithAutoGasLimit函數。
工商總局 警惕以傳銷為手段的新型互聯網欺詐行為:國家工商總局網站消息,近期,以傳銷形式為手段的新型互聯網欺詐行為頻發。部分組織和個人以經營網絡虛擬貨幣、網絡游戲的名義,打著“虛擬貨幣”“數字貨幣”“電子幣”“互聯網代幣”或“網游、網賺”“玩游戲得大獎”“玩網游送紅包”等旗號,以高額“靜態收益”“動態收益”“推廣返利”為誘餌,利誘、欺騙廣大群眾繳納入會費用成為會員,并鼓動會員發展下線,騙取錢財,此類活動可能涉嫌以傳銷為手段和形式,本質上實施非法集資、擅自從事金融業務活動、詐騙等違法犯罪行為,參與者的權益存在巨大風險。[2017/12/11]
因此,攻擊者通過Omni Bridge 轉移200WETH,然后在PoW鏈上重放了相同的Inputdata,獲得了額外的200 ETHW。
此時,我們對這里的重放操作抱有懷疑態度。因為,以太坊網絡在硬分叉之前強行執行EIP-155,這就說明ETH PoS鏈上交易不能在PoW鏈上重復交易。在正常的交易中,我們通過nonce來進行排序交易,避免重復交易。在跨鏈中,我們會根據chianid進行識別鏈的類型,比如以太坊主網的chainid是1,ETHW主網的chainid是10001。
對此,我們分析了Omni Bridge相應的源碼。我們查看一下Omni Bridge驗證chainid的邏輯,發現chainid的來源于unitStorage中存儲的值,而不是通過操作碼 CHAINID(0x46)直接讀取的鏈上chainid。
unitStorage是合約EternalStorage中的狀態變量,sourceChainId()函數所在的合約BasicAMB繼承了BasicBridge和VersionableAMB。其中,BasicBridge陸續繼承了合約EternalStorage。這里保存的chainid是預先存儲好的,如果發生區塊鏈的硬分叉而chainid又沒有重新設置或者chainid人為設置有誤,從合約層面上來說,由于不是通過操作碼獲取的chainid,不會正確驗證跨鏈消息的實際chainid。這樣的漏洞,容易被攻擊者利用。
問題分析總結:主要是Omni使用的solidity版本是0.4.24,采用的是手動存儲和更新chainid的方式,并未通過EIP-1344中規定的CHAINID(0x46)操作碼進行實際chainid獲取。
引發本次安全事件的原因是在PoW升級PoS過程中,Omni Bridge對chainid未及時處理。導致過舊的solidity版本中,存在歷史遺留問題。建議在后續項目迭代中,及時應對新問題,采取必要的代碼優化措施。雖然Gnosis 鏈上Omni Bridge有每日最大轉移代幣數量限制250個WETH,但是依舊要保持警惕,以防止積少成多,造成更大的損失。
財經法學
成都鏈安
金色早8點
Bress
鏈捕手
PANews
Odaily星球日報
原文作者:Nicater,Coinmetrics 聯合創始人 原文編譯:白澤研究院 作為拜登總統行政命令的一部分,白宮科技政策辦公室(OSTP)對加密挖礦的氣候影響進行了研究.
1900/1/1 0:00:00區塊鏈分叉分為軟分叉和硬分叉。本文主要探討的是硬分叉,一種不支持向后兼容的軟件升級方式。硬分叉是共識的分裂或者改變,共識就是區塊鏈系統中各節點達成數據一致性的算法,正常情況下每個節點需要運行相同.
1900/1/1 0:00:00本文轉自公號:老雅痞(laoyapi) 作者:237 近日里,以太坊合并已經宣告正式完成,此舉在開辟了全新的ETH-PoS時代的同時,也意味著本輪熊市短暫的繁榮即將告罄.
1900/1/1 0:00:00在2021年實現空前增長后,虛擬世界中虛擬土地的交易量隨著更廣泛的加密市場價格暴跌而暴跌 。事實上,截至2022年9月12日,18個元宇宙虛擬土地項目的跟蹤銷售額的虛擬交易量從 2021年的高點.
1900/1/1 0:00:00繼上海、深圳、武漢、重慶、廈門、沈陽、北京等多地政府陸續出臺關于元宇宙的專項產業發展計劃后,河南省也正式加入其中.
1900/1/1 0:00:00撰文:DeFi Surfer編譯:Block unicorn以太坊在市場上,贏得了人們使用最頻繁的加密貨幣,不僅僅是成為最硬的錢.
1900/1/1 0:00:00