FTS:千里之堤毁于蚁穴 Fortress Protocol 惨遭攻击_sFTSE价格

前言

北京时间2022年5月9日，知道创宇区块链安全实验室监测到BSC链上借贷协议FortressProtocol因预言机问题被攻击，这是最近实验室检测到的第三起预言机攻击事件，损失包括1,048枚ETH和400,000枚DAI，共计约300W美元，目前已使用AnySwap和Celer跨链到以太坊利用Tornado进行混币。

知道创宇区块链安全实验室第一时间跟踪本次事件并分析。

报告：Worldcoin每年可能产生450万美元的以太坊Gas费:金色财经报道，Worldcoin在以太坊上的数字识别项目每年可能消耗450万美元的Gas费，从而推动企业对以太坊的需求。

Worldcoin项目在短短40天内就花费了50万美元的Gas费用于视网膜扫描的零知识证明。Worldcoin Orbs使用加密协议zk-proofs将用户的World ID添加到经过验证的人员的公共列表中。[2023/8/10 16:18:03]

基础信息

被攻击Comtroller：0x01bfa5c99326464b8a1e1d411bb4783bb91ea629

被攻击预言机地址：0xc11b687cd6061a6516e23769e4657b6efa25d78e

攻击者地址：0xA6AF2872176320015f8ddB2ba013B38Cb35d22Ad

美国SEC和Binance寻求就美国资产冻结达成妥协:金色财经报道，美国证券交易委员会(SEC)和BAM Trading(币安的美国子公司)最近提交了一份同意令请求，该请求将放宽SEC之前冻结公司资产请求的部分限制。拟议中的新同意令将为SEC提供更多保证，并允许BAM Trading做出薪资和其他财务承诺。

根据文件：BAM Trading和BAM Management可以继续支付购买商品和服务的费用、BAM Trading和BAM Management人员的工资，包括预先存在的福利、专业费用和其他类似的日常业务运营费用。

允许资产解冻的主要规定是，币安在任何情况下都不得向任何币安实体或代表币安行事的个人或实体支付或转让任何资产。[2023/6/14 21:35:09]

攻击合约：0xcD337b920678cF35143322Ab31ab8977C3463a45

赵长鹏：币安不打算涉足比特币挖矿行业:金色财经报道，在最近的AMA活动上，币安首席执行官赵长鹏（CZ）讨论了他的日常工作、迪拜Web3前景以及币安路线图的一些细节。赵长鹏表示，币安没有涉足比特币挖矿领域，而且也不打算涉足，之所以做出这样的决定是因为比特币挖矿作为一项业务而言非常特殊，需要太多硬件和专业知识，同时挖矿行业有许多比币安更具优势的竞争对手，所以币安选择运营矿池服务，矿工使用矿池并拥有币安的流动性来帮助支付他们的运营成本，币安为矿工提供综合服务，但自己不会挖矿。据悉，币安矿池是比特币 (BTC) 网络中的第五大矿池，截至2023年6月产生28.96 EH/s，约占比特币网络净哈希率的7.71%。（U.today）[2023/6/4 11:56:17]

tx：0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf

Wemade旗下区块链游戏平台WEMIX开设阿布扎比子公司:金色财经报道，韩国游戏巨头 Wemade 旗下区块链游戏平台 WEMIX 宣布在中东和北非(MENA) 地区设立子公司 WEMIX MENA LTD 。据 WEMIX MENA LTD 总监 Jason Kim 透露，该公司计划在当地开设更多办事处，包括阿联酋和沙特阿拉伯等地。（prnewswire）[2023/1/31 11:38:46]

漏洞分析

该项目是依旧是Compound的仿盘，但由于项目方在预言机实现注释了原本存在的检查导致不需要足够的power便可以通过0xc11b687cd6061a6516e23769e4657b6efa25d78e#submit篡改价格；

数据：150,000,000枚USDC从USDC Treasury转移到Coinbase:金色财经报道，据Whale Alert数据显示，150,000,000枚USDC（价值约149,997,458美元）从USDC Treasury转移到Coinbase。[2022/12/27 22:09:20]

攻击者通过改变FTS在协议中的价格借走了其他池子中的资产，市场中的借贷池如下：

攻击流程

1、攻击者购买了FTS代币并通过提案投票支持添加FTS作为抵押物，提案ID为11；

2、通过调用预言机submit函数改变FTS的价格；

3、攻击者使用100个FTS作为抵押物调用enterMarket进入市场；

4、由于市场价格对于FTS的价值计算出现问题，攻击者使用该抵押品直接调用borrow进行借款；

借取的资产：

5、由于100个FTS没什么价值不需要取回，而攻击者后续仍将其他用于第一步的FTS还在Pancake兑换进行了彻底的套现。

总结

本次攻击原因是Compound仿盘在预言机使用时出现了问题。近期大量Compound仿盘项目被攻击，我们敦促所有Fork了Compound的项目方主动自查，目前已知的攻击主要归结于如下几个问题：

千里之堤毁于蚁穴。从内部调用可见，本次攻击者使用getAllMarkets依次遍历拿取了全部市场的底层资产并将FTS彻底套现。建议项目方对于自己有不一样的实现上一定要建立在充分的理解和足够的第三方安全审计上。一点小的误差将可能导致项目的全盘损失。

标签：FTSCOINOINCOIsFTSE价格COINCOMEmusicoincoincheck是什么意思

NEAR热门资讯