山寨货币交易平台分析:慢雾揭示VETH合约黑客攻击情况

OKX欧易app

OKX欧易app

欧易交易所app是全球排名第一的虚拟货币交易所,注册领取6万元盲盒礼包!

APP下载   官网注册

前言

2020年7月1日,VETH合约遭遇黑客攻击。慢雾安全团队在收到情报后对本次攻击事件进行了全面的分析。下面为大家就这次攻击事件展开具体的技术分析。

攻击细节

本次攻击交易如下:

0xdd1120a90ed4112b634266d6a244b93ca86785317bc75f0e170ab0cd97c65224

通过交易概览可以看到攻击者在 Uniswap 中使用0.9ETH兑换成VETH,然后使用VETH在Vether合约中进行操作,最终盗走巨额的VETH。

现在使用OKO合约浏览器对具体的攻击细节进行分析(下图只展示一部分): [链接]

通过分析交易内具体的细节可以发现:攻击者先创建了一个合约0x47Ed415006C6F8052Fff05fe983f31D6D24B8fDB,通过此合约对Vether合约中的changeExcluded(unknown37217349)函数与transferFrom函数进行了调用。

接下来对这两个函数的具体代码进行分析:

function transferFrom(address from, address to, uint value) public override returns(bool success){ if(!mapAddress_Excluded[msg.sender]){ require(value <= _allowances[from][msg.sender], "Must not send more than allowance"); _allowances[from][msg.sender] -= value; } _transfer(from, to, value); return true;}

可以看到在transferFrom函数中,先对mapAddress_Excluded[msg.sender]进行了if判断,具体逻辑是mapAddress_Excluded[msg.sender]为false时,将会检查对攻击者合约的授权额度,然后调用_transfer函数进行转账。而这个逻辑显然走不通,攻击者合约是没有任何授权额度的。因此mapAddress_Excluded[msg.sender]只能为true,然后直接调用_transfer函数进行转账。

接下来具体分析该如何将mapAddress_Excluded[msg.sender]设置为true:

通过查看合约可以发现:

合约在初始化时只将address(this)和burnAddress的mapAddress_Excluded置为true,那么可以肯定还有其他逻辑可以设置mapAddress_Excluded,通过分析Vether合约可以发现changeExcluded函数可以实现对mapAddress_Excluded的设置。

function changeExcluded(address excluded) external{ if(!mapAddress_Excluded[excluded]){ _transfer(msg.sender, address(this), mapEra_Emission[1]/16); mapAddress_Excluded[excluded] = true; excludedArray.push(excluded); excludedCount += 1; totalFees += mapEra_Emission[1]/16; mapAddress_BlockChange[excluded] = block.number; } else{ _transfer(msg.sender, address(this), mapEra_Emission[1]/32); mapAddress_Excluded[excluded] = false; totalFees += mapEra_Emission[1]/32; mapAddress_BlockChange[excluded] = block.number; }}

通过分析changeExcluded函数可以发现其可见性为external,因此攻击者合约可以直接调用changeExcluded函数,此时攻击者合约的mapAddress_Excluded为false,所以会进入if的逻辑中。

接下来对if逻辑内的代码进行具体分析:

在进行if逻辑后需要先支付手续费,具体为上方代码块中的第3行,那这个手续费是从哪里来呢?答案就是攻击者最初转入合约中的0.9ETH。

图中可以看到,通过0.9ETH兑换成约138VETH。

通过计算代码中的mapEra_Emission[1]/16我们可以得到攻击者需要支付的手续费:我们读取合约中的mapEra_Emission可以知道mapEra_Emission[1]为2048。

此时计算mapEra_Emission[1]/16可得手续费为2048/16=128VETH,而攻击者兑换了约138VETH是足够用来支付手续费的,因此便可以通过上方代码块中的第4行将攻击者合约的mapAddress_Excluded置为true。

完整的攻击流程如下:

1. 创建攻击合约,通过Uniswap将0.9ETH兑换成约138VETH(此处换币为了后续支付手续费)2. 调用Vether合约中的changeExcluded函数并利用先前在Uniswap兑换的约138VETH支付128VETH的手续费,然后将mapAddress_Excluded置为true3. 调用transferFrom函数,利用mapAddress_Excluded为true,直接进行转账操作4. 拿钱走人

黑客地址:

0xfa2700e67065bc364136b5e7f57112083cb2a0cd

攻击交易:

0xdd1120a90ed4112b634266d6a244b93ca86785317bc75f0e170ab0cd97c65224

VETH合约地址:

0x75572098dc462f976127f59f8c97dfa291f81d8b

修复建议

此次攻击主要利用Vether合约中changeExcluded函数的可见性为external且未有权限限制,用户可以直接进行外部调用为攻击创造了必要的条件。因此应做好对changeExcluded函数的权限或可见性的限制,从而避免任意用户可以直接外部调用changeExcluded函数。

本站所有软件信息均由用户上传发布,版权归原著所有。如有侵权/违规内容,敬请来信告知邮箱:764327034@qq.com,我们将及时撤销! 转载请注明出处:https://czxurui.com/zx/70760.html

打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2023年08月24日
下一篇 2023年08月24日

相关推荐

  • 比特币合约如何平仓,比特币合约已亏百分之160了不知道平不平仓

    一、什么是比特币期货合约比特币期货合约,通常是以比特币价格指数为标的的标准化合约。比特币交易所提供的比特币期货通常是以比特币进行交易的。期货是与现货相对的,现货是实实在在可以一手交钱一手交货的商品,而期货其实不是“货”,是承诺未来一个时间交“货”(标的)的

    2024-11-21 15:00:02
    3 0
  • 比特币智能合约怎么查,怎么查询所有区块链公链

    一、怎么查询所有区块链公链公链在哪里查询公链在浏览器查询。随着区块链的大热,越来越多的科技公司开始研究和开发区块链。在区块链迅速发展的同时,也有少部分项目方打着区块链的名号,在市面上进行招摇撞骗。如何判断公链真假,对于现在许多想要进行数字货币交易的群体来说

    2024-11-21 11:30:01
    4 0
  • 比原链钱包地址怎么写,如何查区块链合约地址信息

    一、区块链地址怎么查(区块链地址怎么查询平台)如何通过区块链资产地址(数字钱包地址)查看该地址的区块链资产(数字货币)?用区块链浏览器就可以查看。在搜索输入框内输入想查询的钱包地址,如果你输入的地址不完整,但是这个地址之前有在区块链上进行过ETH交易或者被查询

    2024-11-20 14:00:01
    3 0
  • 区块链 如何删除合约,什么叫区块链合约

    一、什么叫区块链合约区块链合约层是什么如果说数据、网络和共识三层,分别承担了区块链底层数据表示、数据传播和数据验证功能的话,合约层则是封装各类脚本代码、算法以及更为复杂的智能合约,是区块链系统实现灵活编程和操作数据的基础。作为一种自我执行的协议,智能合约被

    2024-11-20 01:30:01
    9 0
  • 虚拟货币地址怎么查询,如何查区块链合约地址信息

    一、如何知道是哪个区块链平台,怎么查询区块链是不是公链怎么查别人区块链信息1.如果是查询账户余额、账户的历史交易数据等信息,建议直接输入钱包地址查询;如果是查询某笔转账的相关信息,比如是否到账、进展如何,输入交易ID是最方便的。当然了,区块链浏览器不仅可以查询自己的

    2024-11-17 13:30:02
    9 0
  • 时代合约如何交易平台,什么是区块链合约交易

    一、如何知道期货是被骗了看投资之后亏损情况以及平台交易情况。1、根据资质来选择。一个正规的平台商是要求在相关交易所取得相关的资质证明的,所有大家选择平台的时候一定要得到他们的资质证明,没有证明的肯定都是假平台。2、服务很重要。期货的交易规则就是24小时T+0多空

    2024-11-16 01:30:02
    11 0

发表回复

8206
验证码

评论列表(0条)

    暂无评论

ok交易所
已有100万用户加入ok交易所

立即下载