CertiK:预言机被黑客任意利用的日子什么时候是个头?Rikkei Finance被攻击事件分析

北京时间2022年4月15日11点18分,CertiK审计团队监测到Rikkei Finance被攻击,导致约合701万元人民币(2,671 BNB)资产遭受损失。

由于缺乏对函数`setOracleData`的访问控制,攻击者将预言机修改为恶意合约,并获取了从合约中提取USDC、BTCB、DAI、USDT、BUSD和BNB的权限。攻击者随后将这些代币全部交易为BNB,并通过tornado.cash将这些BNB转移一空。

①攻击者向rBNB合约发送了0.0001个BNB以铸造4995533044307111个rBNB。

②攻击者通过公共函数`setOracleData()`将预言机设置为一个恶意的预言机。

③由于预言机已被替换,预言机输出的rTokens价格被操纵。

④攻击者用被操纵的价格借到了346,199USDC。

⑤攻击者将步骤4中获得的USDC换成BNB,并将BNB发送到攻击合约中。

⑥攻击者重复步骤4和5,耗尽BTCB、DAI、USDT和BUSD。

Ark Invest分析师:Coinbase股票是有吸引力的长期投资:1月13日消息,投资管理公司Ark Invest分析师和研究助理表示,作为领先的加密货币交易所,Coinbase的产品增长计划使其成为有吸引力的长期投资,2021年Coinbase约占加密市场现货交易量的10%。分析师表示,“从长远来看,我们认为Coinbase将继续占据交易量市场份额,我们估计该市场份额将加速增长,并在产品方面进行真正的创新,我们认为这将增加数量和平台上用户的粘性。”

报道称,截至周二,Coinbase是Ark创新ETF(ARKK)的第五大持股,权重约为5.3%,是Ark金融科技创新ETF(ARKF)的第二大持股,权重近9.1%。(Blockworks)[2022/1/13 8:46:06]

⑦攻击者使用函数`setOracleData()`再次改变预言机,还原了该预言机的状态。

Simple Price预言机 : 

https://bscscan.com/address/0xd55f01b4b51b7f48912cd8ca3cdd8070a1a9dba5#code

Cointroller: https://bscscan.com/address/0x00aa3a4cf3f7528b2465e39af420bb3fb1474b7b#code

资产地址:  Rtoken 0x157822ac5fa0efe98daa4b0a55450f4a182c10ca

新的(有问题的)预言机: 

0xa36f6f78b2170a29359c74cefcb8751e452116f9

原始价格: 416247538680000000000

更新后的价格: 416881147930000000000000000000000

Rikket Finance 是利用Cointroller中的SimplePrice预言机来计算价格的。然而,函数`setOracleData()`没有权限控制,也就是说它可以被任何用户调用。攻击者使用自己的(恶意的)预言机来替换原有的预言机,并将rToken的价格从416247538680000000000提升到4168811479300000000000000。

攻击者在两次交易中获得了2671枚BNB(价值约701万人民币)。攻击者已使用tornado.cash将所有的代币进行了转移。

漏洞交易:

● https://bscscan.com/tx/0x4e06760884fd7bfdc076e25258ccef9b043401bc95f5aa1b8f4ff2780fa45d44

● https://bscscan.com/tx/0x93a9b022df260f1953420cd3e18789e7d1e095459e36fe2eb534918ed1687492

相关地址:

● 攻击者地址:

0x803e0930357ba577dc414b552402f71656c093ab

● 攻击者合约:

0x9aE92CB9a3cA241D76641D73B57c78F1bCF0B209

0xe6df12a9f33605f2271d2a2ddc92e509e54e6b5f

● 恶意预言机:

https://bscscan.com/address/0x99423d4dfce26c7228238aa17982fd7719fb6d7f

https://bscscan.com/address/0xa36f6f78b2170a29359c74cefcb8751e452116f9

●被攻击预言机地址:

该次事件可通过安全审计发现相关风险。CertiK的技术团队在此提醒大家,限制函数的访问权限是不可忽略的一步。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

链链资讯

BitcoinDapp行业报告:2022年第一季度概览

2022年的前三个月提醒了dapp行业的每个人,这个新生的领域正在我们眼前迅速发展。来自不同类别的dapp——即游戏、DeFi和NFT,在我们面前展示了它们的潜力,同时也显现出在完全成为主流之前所必须解决的挑战。 从宏观经济的角度来看,乌克兰战争影响不小。对俄罗斯实施的制裁对包括加密行业在内的市场产生了负面影响。尽管看起来经济正在逐步复苏。

FilecoinNFT是否会冲击互联网原生文化?

Meme(模因)指通过描绘出特定观众的想法和感受而引起共鸣的图像或视频。在过去的几年里,模因经常被用来开玩笑或唤起共鸣。作为一种社会现象,模因也随着使用它们的人而发展。随着区块链和 NFT 的日益普及,NFT已经变成了病式模因的最新载体。

狗狗币亚马逊CEO:亚马逊暂不支持加密支付 未来或将销售NFT

亚马逊新任首席执行官 Andy Jassy 对加密货币和非同质代币(NFT)的未来持乐观态度。他在 CNBC 采访中透露,个人不持有任何比特币,亚马逊近期可能不会将加密货币作为零售业务的支付方式,但很有可能在未来销售 NFT。 Andy Jassy 于 2021 年 7 月从贝索斯手中接任了首席执行官的职位,贝索斯转任亚马逊董事会执行主席一职。

[0:15ms0-3:744ms