REA:Reaper Farm遭到恶意利用，损失160万美元事件分析-ODAILY_ULT

作者：

时间：1900/1/1 0:00:00

北京时间2022年8月2日13点，CertiK安全团队监测到ReaperFarm的ReaperVaultV2合约被恶意利用，导致了价值超过160万美元的损失。

攻击者利用ReaperVaultV2合约中的一个漏洞——可以销毁其他用户的vaultshare并提取代币，以此从多个vault提取了大量的代币。

游戏发行商BRAVO READY宣布获得Magic Eden战略投资:金色财经报道，游戏发行商BRAVO READY宣布获得Magic Eden战略投资，这项投资提供的资金将用于 BR1：INFINITE 的进一步开发和大规模采用。

此前报道，游戏发行商BRAVO READY宣布获得Aptos Labs的战略投资。[2023/3/31 13:37:52]

截至北京时间2022年8月3日8点，160万DAI、62ETH以及200Matic已被存入TornadoCash。

Everyrealm CEO：“元宇宙只能在VR中呈现”是一种误解:8月9日消息，Everyrealm首席执行官Janine Yorio试图消除“元宇宙只能在VR中呈现”的误解。在2022年韩国区块链周上，Yorio表示，史蒂文·斯皮尔伯格的《头号玩家》让我们看到了如果我们生活在超宇宙中，生活会是什么样子。然而，她认为，电影造成了我们关于元宇宙的这种误解，因为“主角戴着VR头戴设备”，而根据Yorio的说法，元宇宙的大多数开发目前是“为你的桌面开发的”。

Yorio强调，这背后的原因是消费者的偏好，因为人类喜欢“与科技互动”的方式是“距离你的脸18英寸，而不是3英寸”，并补充说，“拥有电脑的人比拥有VR头戴设备的人多得多。”Yorio称，元宇宙只存在于VR中是不现实的，虽然《头号玩家》向我们展示了这种“沉浸式图片真实环境”是一个令人兴奋的概念，但这不会在“近期的未来”发生，因为这不是人类习惯与技术互动的方式。（Cointelegraph）[2022/8/9 12:12:06]

攻击步骤

1200万枚USDT从Tether Treasury钱包转出:WhaleAlert数据显示，北京时间04月28日21:08，1200万枚USDT从Tether Treasury钱包转入0x8bb0开头地址，按当前价格计算，价值约1200.3万美元，交易哈希为：0xb7990bb99267d4cae62bbdd03da39999ad2aef82b99c6378b67f2ab48e38f1e6。[2020/4/28]

①攻击者部署了一个攻击者合约，通过该合约，攻击者可在一次交易中从Reapervault提取多个用户的资产。

②ReaperVaultV2合约并未检查shareowner与messagesender之间的关系，因此攻击者可以多次通过攻击者合约提取vault用户的资产。

③攻击者将从金库提取的代币换成DAI、ETH和Matic，并将其存入TornadoCash。

漏洞交易

漏洞交易之一：

https://ftmscan.com/tx/0xc929f3b9312ff26be0adb1c3ff832dbdafdcbcaad33d002744effd515e53c9d5

其余漏洞交易:

https://ftmscan.com/address/0x5636e55e4a72299a0f194c001841e2ce75bb527a

漏洞分析

在ReaperVaultV2合约的`withdraw()`函数中，vaultshare所有者可以是msg.sender以外的账户。同时，所有者与msg.sender之间的关系或是allowance未被选中，意味着人们可以从vault提取其他用户的资产。