ISR:损失约820万美元，Visor Finance遭黑客攻击事件全解析_DOD币

12月21日，链必应-区块链安全态势感知平台舆情监测显示，UniswapV3流动性管理协议VisorFinance于北京时间12月21日晚上10点18分遭受攻击，总损失约为820万美元。关于本次攻击，成都链安技术团队第一时间进行了事件分析。

#1事件概览

2021年12月21日晚VisorFinance官方Twiiter发布通告称vVISR质押合约存在漏洞，发文前已有攻击交易上链。

经过成都链安技术团队分析，攻击者通过恶意合约利用VisorFinance项目的漏洞，伪造了向VisorFinance的抵押挖矿合约(0xc9f27a50f82571c1c8423a42970613b8dbda14ef)存入2亿代币的交易，从而获取了195,249,950vVISR抵押凭证代币。然后再利用抵押凭证，从抵押挖矿合约中取出了8,812,958VISR。

某地址向币安存入200万枚DODO，仍持有940万枚DODO:8月8日消息，据Scopescan监测，DODO投资者（0xbf4开头地址）于1小时前向币安存入200万枚DODO（约合30万美元）。在过去1年里，该地址通常在领取DODO后立即质押。目前该地址仍持有940万枚DODO（约合150万美元）。

昨日有6个地址收到解锁的DODO代币，并向币安存入630万枚DODO（约合101万美元）。其中，DWF Labs收到600万枚DODO（约合78.2万美元），并于今日下午将100万枚DODO存入币安。[2023/8/8 21:32:09]

#2事件具体分析

a16z CTO：“橙球”谜语推文并非是要推出L2:4月19日消息，a16z 首席技术官 Eddy Lazzarin 回应 a16z 工程师 ncitron.eth 发布的“橙色圆球”即将推出谜语推文称，这并非 L2。a16z 工程师 ncitron.eth 发布橙球推文后，与 Optimism 图像的相似性导致交易者猜测 a16z 可能计划推出自己的 Layer2 区块链，OP Token 此后上涨 3%。

此前报道，Coinbase 于 2 月份发布包含蓝色圆球的推文，并基于 OP Stack 构建了一个全新 L2 区块链 Base。（CoinDesk ）[2023/4/19 14:12:34]

攻击交易为：

Cool Cats Group任命迪士尼资深人士Stephen Teglas为首席执行官:金色财经报道，蓝筹NFT项目Cool Cats 母公司Cool Cats Group LLC今天宣布， Stephen Teglas已加入公司担任首席执行官。在过去的25年中，斯蒂芬一直致力于为华特迪士尼公司和华纳兄弟公司领导消费品品牌管理和商业化，最近在NFT技术公司RECUR领导品牌合作伙伴关系。

作为首席执行官，Teglas将利用他丰富的领导经验来执行Cool Cats的使命，成为全球最大的NFT品牌和媒体公司。该公司将通过在动画内容、游戏、现场活动、消费品和出版领域等方面的合作，将Cool Cats品牌带给全球粉丝。（prnewswire）[2022/9/22 7:12:30]

https://etherscan.io/tx/0x69272d8c84d67d1da2f6425b339192fa472898dce936f24818fda415c1c1ff3f

英格兰银行副行长：一些加密资产纯粹是投机性的，没有任何支持:金色财经报道，英格兰银行 (BOE) 负责金融稳定的副行长Jon Cunliffe爵士本周在英国高级专员驻新加坡的官邸讨论了加密货币风险和法规。英格兰银行高管警告说：没有内在价值的金融资产，只值下一个买家愿意支付的价格。因此，它们本质上是不稳定的，非常容易受到情绪的影响并且容易崩溃。

他解释说，一些加密资产纯粹是投机性的，没有任何支持，这位英国央行行长补充说，最近加密市场的波动并未对整个金融系统构成风险，并指出加密可能没有充分整合到金融系统的其他部分，成为直接的系统性风险。

然而，Cunliffe 断言加密货币和传统金融系统之间的界限将越来越模糊，他说如果不采取行动，系统性风险就会出现，特别是如果加密货币活动及其与银行和其他市场的联系继续增长的话。他强调，监管机构需要“继续工作”并将加密货币纳入“监管范围”。[2022/7/17 2:18:40]

攻击手法大致如下：

1.部署攻击合约

0x10c509aa9ab291c76c45414e7cdbd375e1d5ace8；

2.通过攻击合约调用VisorFinance项目的抵押挖矿合约deposit函数，并指定存入代币数量visrDeposit为1亿枚，from为攻击合约，to为攻击者地址

0x8efab89b497b887cdaa2fb08ff71e4b3827774b2；

3.在第53行，计算出抵押凭证shares的数量为97,624,975vVISR.

4.由于from是攻击合约，deposit函数执行第56-59行的if分支，并调用攻击合约的指定函数；

第57行，调用攻击合约的owner函数，攻击合约只要设置返回值为攻击合约地址，就能够通过第57行的检查；

第58行，调用攻击合约的delegatedTransferERC20函数，这里攻击合约进行了重入，再次调用抵押挖矿合约的deposit函数，参数不变，因此抵押挖矿合约再次执行第3步的过程；

第二次执行到第58行时，攻击合约直接不做任何操作；

5.由于重入，抵押挖矿合约向攻击者发放了两次数量为97,624,975vVISR的抵押凭证，总共的抵押凭据数量为195,249,950vVISR。

6.提现

攻击者通过一笔withdraw交易

，将195,249,950vVISR兑换为8,812,958VISR，当时抵押挖矿合约中共有9,219,200VISR。

7.通过UniswapV2，攻击者将5,200,000VISR兑换为了WETH，兑换操作将UniswapV2中ETH/VISR交易对的ETH流动性几乎全部兑空，随后攻击者将获得的133ETH发送到Tornado。

#3事件复盘

本次攻击利用了VisorFinance项目抵押挖矿合约RewardsHypervisor的两个漏洞：

1.call调用未对目标合约进行限制，攻击者可以调用任意合约，并接管了抵押挖矿合约的执行流程；<-主要漏洞，造成本次攻击的根本原因。

2.函数未做防重入攻击；<-次要漏洞，导致了抵押凭证数量计算错误，不是本次攻击的主要利用点，不过也可凭此漏洞单独发起攻击。

针对这两个问题，成都链安在此建议开发者应做好下面两方面防护措施：

1.进行外部合约调用时，建议增加白名单，禁止任意的合约调用，特别是能够控制合约执行流程的关键合约调用；

2.函数做好防重入，推荐使用openzeppelin的ReentrancyGuard合约。

标签：ISRVISRDODODODISR价格VISR价格dodo币最新消息DOD币

非小号热门资讯