金色观察丨一文读懂跨链资产桥Chainswap为何再被盗 影响几何

在DeFi多链开花之后,跨链就成为一种刚需,加密货币行业也有多个跨链产品发布,但跨链安全问题也随之而来。

2021年7月11日,跨链桥项目Chainswap发推表示再次遭到黑客攻击,在该跨链桥部署智能合约的超20个项目代币都遭遇黑客盗取。

据公开资料,ChainSwap为一跨链项目,允许主流资产在支持的网络上进行无缝桥接,包括以太坊、币安智能链、火币生态链、OKExChain和Polygon。ChainSwap获得Alameda Research、OK Block Dream Fund、NGC Ventures、Spark Digital Capital、Continue Capital等业界多家知名加密机构投资。

根据多名推特用户公布的信息,该黑客地址为0xeda5066780dE29D00dfb54581A707ef6F52D8113,黑客从11日凌晨陆续盗取了来自Chainswap跨链桥合约的超20个项目代币。

涉及项目包括Antimatter、 Corra、DAOventure、 FM Gallery、Fei protocol、Fair Game、 Rocks 、 Peri Finance、 Strong 、WorkQuest、Dora Factory、Unido、Unifarm、Wilder Worlds、Nord Finance、OptionRoom 、Umbrella、Razor 、Dafi Finance、Oropocket、KwikSwap、Vortex 、Blank 、 Rai Finance 、Sakeswap等。

这已经是桥ChainSwap在一周内第二次被攻击。2021年7月3日ChainSwap发推称,ChainSwap合约遭到攻击,跨链桥暂停使用,正与慢雾、火币、OKEx以及当地合作进行调查。7月4日,ChainSwap宣布跨链桥已恢复使用,资产交换和免许可部署重新上线。

推特用户Christoph Michel对本次安全事故进行了初步分析:

每个代币有自己的跨链转移代理合约,合约工厂(Factory contract)代码

https://etherscan.io/address/0x42ba9308073bea68949e650a3659a0fae369f4e0#code

黑客调用合约工厂(Factory contract)的receive函数,攻击者必须在 _chargeFee中支付0.005 ETH作为费用。这一过程没有真正的身份验证检查,只需要 1 个签名,问题可能是 _decreaseAuthQuota 函数,如果当天签名人的配额已完成,该函数就会恢复。

但是每个人似乎都从默认配额开始。所以攻击者每次只需用不同的地址签名来规避这一点。然后在 _receive函数中将 volume参数传输到to攻击者地址。

ChainSwap攻击者的交易:

https://etherscan.io/txs?a=0xeda5066780de29d00dfb54581a707ef6f52d8113

受Chainswap被攻击影响,部署在Chainswap跨链桥合约的多个代币价格大幅下跌。

金色财经整理了部分代币的跌幅:

起始价格取11日凌晨2点左右,最终价格取12日10:30左右

攻击发生后,Chainswap已经下线其跨链桥。

Chainswap表示将对受影响的代币实施补偿计划,已对攻击前的持有者和LP进行了快照,将对攻击前的持有者和 LP 空投1:1的新ASAP代币,包括交易所的 ASAP 持有者,ChainSwap提醒不要购买目前交易的ASAP代币。

Chainswap表示目前团队已经冻结了BSC映射代币地址,以过滤掉黑客地址,在Chainswap完成过滤之前,余额可能会暂时显示为0。智能合约会受到影响,与 Chainswap交互的钱包不受影响,来自个人钱包的资金是安全的。

波卡预言机项目OptionRoom发推称,包括OptionRoom在内的多个项目受到跨链资产桥ChainSwap黑客攻击影响,黑客盗取了230万枚以太坊上的ROOM代币以及1000万枚币安智能链上的ROOM代币。OptionRoom决定从Uniswap?和Pancakeswap中移除流动性,以保护代币持有者和流动性提供者免受黑客出售到流动性池中的影响。OptionRoom从Uniswap 池中收回342117美元,将根据流动性提供者的份额分配给他们,并计划空投新代币给ROOM/COURT代币持有者,此过程最多需要2周时间。

DeFi 资产管理平台?DAOventures因跨链资产桥ChainSwap合约漏洞,被盗取30万枚DVG代币。DAOventures称已经对攻击前的DVG持有者和LP进行快照,并表示对受影响的代币持有者将会实施补偿。DAOventures团队表示,用户在DAOventures的资产是安全的,在补偿方案公布之前,DAOventures提醒用户暂时不要购买交易的DVG并关注团队的最新动态。

基于Polkadot区块链的跨链交易协议RAI Finance表示因跨链资产桥ChainSwap合约漏洞,被盗取707133枚 RAI 代币,团队表示被盗数额与RAI Finance目前的总市值相比并不大,提醒社区避免恐慌,将持续监控此问题并尝试维持RAI代币的价格。另外,RAI Finance表示由于这是第二次因Chainswap智能合约安全问题造成的攻击,将考虑更换跨链桥接合作伙伴。

金色财经会继续关注ChainSwap被攻击事件以及被波及项目的进展。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

链链资讯

ADA不断被打压的比特币 为什么还有那么多人买?

比特币和以太坊在6月22日创下了最近几周的最低价格——前者创下了2.89万美元的低点,而后者则为1706美元。尽管目前已经从这些低点反弹,但更大级别的看跌趋势仍然完好无损。 其中一个占主导地位的利空就是来自对加密产业的高强度监管打压。根据最近的Chainalysis Market数据,比特币活跃水平在5月和6月连续下降后继续趋于稳定。

比特币Gavin Wood:区块链和去中心化网络先驱

Gavin Wood 在柏林 Web3 峰会上 作为一个天生好奇的小孩,当 Gavin 的母亲自作主张给他弄来一台邻居的旧电脑时,9 岁的 Gavin 非常兴奋。不过,她应该不知道这台旧东西会激起他的好奇心,让他成为建立以太坊、Solidity 和 Web3 基金会,为互联网新时代奠定基础的先驱。

XMR“挖矿”遭遇强监管 “矿机”出口要谨慎

在我国全面推行绿色可持续发展,努力实现“双碳”目标的今天,占据全球比特币挖矿市场半壁江山的中国挖矿产业因为高耗能问题,受到了从中央到地方的全面严打。在关停政策的高压之下,昔日搅动风云的挖矿企业纷纷携带矿机转战海外市场。本文将重点围绕矿机出口业务可能涉及的禁限规定、申报价格以及原产地等主要法律风险进行分析。

火币下载金色前哨 | 元宇宙游戏Roblox中国版《罗布乐思》登陆国内

7月13日,腾讯外发游戏《罗布乐思》已经在国内应用商店上架,可以正常下载使用。 《罗布乐思》是一款集体验、开发于一体的在线3D沙盒创意社区,旗下拥有《罗布乐思》APP及Studio。玩家可通过自己的想象力,创造出各种不同的玩法,与知名游戏《我的世界》非常相似。这款游戏还可以邀请好友互动,实现多人在线共同竞技等。

[0:15ms0-3:343ms