前言
北京时间2022年2月5日晚，Meter.io 跨链协议遭到攻击，损失约 430 万美元。知道创宇区块链安全实验室 第一时间跟踪本次事件并分析。
分析
基础信息
tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
Aave社区关于在Metis主网上部署Aave V3的提案已获通过:金色财经报道，Aave社区发起的关于在 Metis 主网上部署Aave V3的提案现已获得通过。该提案指出，若投票通过，Aave 将与 Bored Ghosts Developing（BGD）协调开始 Aave 部署，预计需 4 周时间。
该提案指出，MetisDAO 基金会将通过建设者挖矿激励、生态系统赠款与Genesi DAC 投资资助 Aave 生态项目，建设者挖矿激励计划每月根据每个协议负责的月度总交易量分配 4000 枚 METIS。通过该集成，Aave 也可以通过协议费与建设者挖矿激励计划获得额外收入。该提案提议在合约部署后的 6 个月内开展 10 万枚 Metis 代币流动性激励活动，并与 Chaos Labs 合作，制定战略分配。[2023/3/24 13:23:39]
攻击者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
审计公司Prager Metis官网删除FTX US相关信息:11月12日消息，根据CoinDesk获得的一份财务文件，此前与FTX Trading LLC合作的审计公司Prager Metis报告称，公司在2021年的收入为10亿美元。
Prager Metis在其网站上列出24个运营地点，包括Decentraland的“虚拟元宇宙”，并赞助Decentraland Babydolls活动。Prager Metis网站6月发布的一个页面显示，它也“自豪地支持FTX US”，但在发稿时该页面已被删除。
然而CoinDesk查看文件发现，FTX US 2020年和2021年的审计由Armanino公司进行。（CoinDesk）[2022/11/12 12:54:30]
Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001
Metis推出去中心化存储功能，可显著降低交易费用与区块确认时间:4月13日消息，以太坊扩容解决方案 Metis 宣布推出去中心化存储方案，通过汇总数据和防欺诈挑战流程，可显著降低交易费用与区块确认时间。据悉，该存储解决方案类似 IPFS 支持所有类型的 API 框架，以便与 Metis 第 2 层网络上的 DApp 轻松集成。下一阶段，团队还将实现存储提供功能，存储提供商将以 METIS 代币的形式获得奖励，以促进网络的速度和可扩展性。[2022/4/13 14:20:55]
ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51
漏洞原理
漏洞关键在于跨链桥合约的deposit函数中，deposit函数会根据resourceID取相应的depositHandler，并调用deposit函数进行实际的质押逻辑。
而在depositHandler的deposit函数中，存在逻辑缺陷，当tokenAddress不为_wtokenAddress地址时进行 ERC20 代币的销毁或锁定，若为_wtokenAddress则直接跳过该部分处理。
该存在缺陷的逻辑判断可能基于在跨链桥合约中的depositETH函数会将链平台币转为wToken后转至depositHandler地址，所以在depositHandler执行deposit逻辑时，已处理过代币转移，故跳过代币处理逻辑。
但跨链桥合约的deposit函数中并没有处理代币转移及校验，在转由deposiHandler执行deposit时，若data数据构造成满足tokenAddress == _wtokenAddress即可绕过处理，实现空手套白狼。
总结
本次攻击事件核心原因在于 Meter.io 跨链桥 depositHandler质押处理器中，存在逻辑判断缺陷，满足了跨链桥合约depositETH的逻辑场景，但忽视了deposit逻辑场景存在绕过缺陷。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。