首页>财经 > 正文
当前热门:SharkTeam:Atlantis提案攻击原理分析
来源: SharkTeam 发布于:2023-06-13 14:35:00

北京时间2023年6月10日,Atlantis遭受提案攻击,损失近100万美元,攻击者已获利约11万美元。

SharkTeam对此事件第一时间进行了技术分析,并总结了安全防范手段,希望后续项目可以引以为戒,共筑区块链行业的安全防线。

一、事件分析

攻击者地址:


(相关资料图)

0xeade071ff23bcef312dec938ece29f7da62cf45b

攻击合约:

0x027383C520c289cB5c4B66F8E0c8CA65D0769094

0x613CC544053812aB026d60361212Cdb67B46f42f

0xDc8B8D77d8315de469a806e02f38278E38bDBD0B(假提案合约)

被攻击合约:

0x558B96Ee93Ea9C7ec9839BEAfab641d75F94E9a3

发起提案交易:

0xac1e694f57db4fdef3275f93b651f62b18d7cb0b3c06977e99b56f2968554afd

攻击交易:

0xa238ca2d2c57c1678866783b074a0c1204cfaa8c37a383c61a6b8e948d40e3fe

攻击流程:

(1)首先,攻击者(0xeade071f)通过攻击合约(0x027383C5)先向被攻击合约(0x558B96Ee)发起了一个提案,此提案内容是更改合约的admin。

(2)等待28800个区块,也就是提案的投票期后,对提案进行投票,以增加提案的forVotes值。

(3)将提案加入时间锁的执行队列中。

(4)等待172800s后执行提案,将合约中的admin设为假提案合约(0xDc8B8D77)。

(5)通过调用假提案合约(0xDc8B8D77)将被攻击合约(0x558B96Ee)的逻辑合约设为攻击合约(0x613CC544)。

(6)通过调用被攻击合约(0x558B96Ee)来实际调用攻击合约(0x613CC544)中的后门函数转出被攻击合约(0x558B96Ee)中经过授权的用户代币。

二、漏洞分析

治理合约中的逻辑存在较大的问题。

在将提案加入到timelock合约的执行队列前,校验了当前提案的状态是否通过。

由于前面的条件都很好绕过,加上eta在提案创建时本身就为0,所以达到提案的Succeeded状态很容易。达到提案的Succeeded状态后,就能够将提案加入到timelock的执行队列中,这时只需要等到172800s后,即可执行当前提案,完成攻击。

三、安全建议

针对本次攻击事件,我们在开发过程中应遵循以下注意事项:

(1)在开发提案通过的逻辑时,严格校验逻辑是否正确

(2)在项目上线前,联系第三方安全审计公司对合约逻辑代码进行严格的安全审计。

About Us

SharkTeam的愿景是全面保护Web3世界的安全。团队由来自世界各地的经验丰富的安全专业人士和高级研究人员组成,精通区块链和智能合约的底层理论,提供包括智能合约审计、链上分析、应急响应等服务。已与区块链生态系统各个领域的关键参与者,如Polkadot、Moonbeam、polygon、OKC、Huobi Global、imToken、ChainIDE等建立长期合作关系。

官网:https://www.sharkteam.org

Twitter:https://twitter.com/sharkteamorg

Discord:https://discord.gg/jGH9xXCjDZ

Telegram:https://t.me/sharkteamorg

关键词:

猜你喜欢

  • 当前热门:SharkTeam:Atlantis提案攻击原理分析
  • 环球要闻:Polygon推出由ZK驱动的L2链组成的网络Polygon 2.0,涉及协议架构、代币经济学及治理领域升级
  • 地表最强旗舰驱动力即将到来 天玑9300“全大核”重磅登场 环球最新
  • 地大一批化石入选“中国美丽化石”
  • 天天快报!天风证券:预计2025年中国车载显示市场规模将达1100亿元左右
  • 特种设备协会网站_特种设备协会
  • 婚礼车花手捧花胸花价格_婚礼车花_速讯
  • TrueUSD:正努力恢复Prime Trust上的TUSD铸币 环球最资讯
  • 5-0!国产C罗踢疯了:15场轰17球,中国男足久违爆发,剑指世少赛
  • 郑州银行(002936):6月13日技术指标出现观望信号-“黑三兵” 环球热门
  • 当前最新:枚进_关于枚进概略
  • 鬼父 动画公司PoRO改编的系列OVA相关内容简介介绍_鬼父 动画公司PoRO改编的系列OVA相关内容简介介绍 环球热消息
  • 空调行业的价格悖论 消费分层与高质量经营之间冲突-世界报道
  • 【天天聚看点】庄园小课堂今日答案最新7.17 蚂蚁庄园小课堂今日答案最新
  • 华虹半导体拟募资180亿元回A上市 当前讯息
  • csgo开箱模拟器有哪些 国外十大最热门的csgo开箱模拟器排名
  • 掘金季后赛16-4夺冠创历史第三好战绩 17宇宙勇第一&01湖人第二
  • 今日热门!tenda路由器设置_Tenda无线路由器怎样设置密码
  • 枣阳鲜桃喜丰收 产销两旺农民笑 今日聚焦
  • 2023年了,还不知道家用电器也有安全使用年限?|环球微头条