前言
北京时间2022年2月5日晚，Meter.io 跨链协议遭到攻击，损失约 430 万美元。知道创宇区块链安全实验室 第一时间跟踪本次事件并分析。
分析
基础信息
tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
哔哩哔哩海外版APP现支持连接MetaMask钱包，官方合作NFT项目可设为头像使用:5月19日消息，据bilibili海外版APP客户端页面显示，bilibili海外版APP已推出NFT入口，支持连接MetaMask钱包查看官方合作NFT项目Cheers UP。该系列NFT可设为头像使用，并有外显的头像认证标识。
此前消息，哔哩哔哩bilibili于4月下旬宣布为海外用户授权发布Cheers UP NFT，该系列包含在以太坊上发布的10,000枚PFP类型NFT。近日该项目投票通过提案，将销毁总量一半的NFT，并保留241枚归入金库用于项目和社区建设。[2022/5/19 3:27:57]
攻击者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
法国隐私监督机构对Meta Platforms罚款6000万欧元:法国隐私监督机构对Meta Platforms（原Facebook）罚款6000万欧元，对谷歌罚款1.5亿欧元。（金十）[2022/1/6 8:29:30]
Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001
ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51
Poloniex已上线Meta（MTA）:据官网公告，Poloniex现已上线稳定币聚合协议mStable的协议代币Meta（MTA）。现在用户可将MTA存入Poloniex账户并进行MTA/USDT交易。[2020/7/19]
漏洞原理
漏洞关键在于跨链桥合约的deposit函数中，deposit函数会根据resourceID取相应的depositHandler，并调用deposit函数进行实际的质押逻辑。
而在depositHandler的deposit函数中，存在逻辑缺陷，当tokenAddress不为_wtokenAddress地址时进行 ERC20 代币的销毁或锁定，若为_wtokenAddress则直接跳过该部分处理。
该存在缺陷的逻辑判断可能基于在跨链桥合约中的depositETH函数会将链平台币转为wToken后转至depositHandler地址，所以在depositHandler执行deposit逻辑时，已处理过代币转移，故跳过代币处理逻辑。
但跨链桥合约的deposit函数中并没有处理代币转移及校验，在转由deposiHandler执行deposit时，若data数据构造成满足tokenAddress == _wtokenAddress即可绕过处理，实现空手套白狼。
总结
本次攻击事件核心原因在于 Meter.io 跨链桥 depositHandler质押处理器中，存在逻辑判断缺陷，满足了跨链桥合约depositETH的逻辑场景，但忽视了deposit逻辑场景存在绕过缺陷。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
去年Axis的Play to Earn迅速火爆起来之后,很多人就预感,还会有其他模式的X to Earn出来.
1900/1/1 0:00:00当狂热的加密爱好者将金钱投入到NFT图片时,浑水摸鱼的局随之而来,Cool Kittens NFT便是其中一个作恶者,该项目于去年11月在Sonala链上启动小猫形象的NFT铸造及销售活动.
1900/1/1 0:00:004月16-18日,Moonbirds 交易量占整个NFT交易市场的25%,同时伴随着Moonbirds价格的快速上涨,挂单率良好、且巨鲸参与度较高.
1900/1/1 0:00:00Avalanche生态新上线借贷协议Yeti Finance,凭借零利率借款服务、支持多类别质押资产和扩大杠杆率等特点,有效提升了资金效率,上线一周TVL就突破8亿美元.
1900/1/1 0:00:00保姆教程第01期 StepN是一款使用运动鞋NFT通过运动赚取收益的区块链游戏,首次在Web3的世界开创了Move-to-Earn（边运动边赚钱）这个概念.
1900/1/1 0:00:00作者：Walter,Web3 investor推特@Walter_JCHuangRSS3是一个结合区块链技术,衍生于RSS协议的下一代数据分发协议,具有灵活、高效、可扩展和去中心化等特点.
1900/1/1 0:00:00
月亮链