THORCHAIN - 翻车2

THORChain遭受重创。

最近，该协议被‘锤’了500万美元。

第二次打击使他们又损失了800万美元。

黑客给THORChain留下了明确的信息，但显然还不够清楚，因为THORChain最初认为他们只损失了80万美元给白帽黑客。

转账数据告诉我们一个不同的故事：

来源

THORChain的官方推特账户一直使用非常健谈的语气发推，即使在攻击发生后，他们也继续这样做。

当你在10天内损失了超过1000万用户的资金时，庆祝关注量增长并不是一个好主意。

新粉丝的到来是为了来看热闹，他们并不是你成功的标志。

THORchain社区的热情仍然很高，但现在表现得不同，他们正在遭受痛苦。

在一个RUNE持有人给攻击者的交易中发现了以下信息。

“野蛮人”

发生了什么事让你如此愤怒？

来源: Halborn Security

观察到的攻击开始于格林尼治标准时间22.07.2021 - 21:42

一名攻击者通过ETH Router合约针对Thorchain Bifrost组件进行攻击。

在交易过程中，可在交易中看到以下地址。

Router: 0xc145990e84155416144c532e31f89b840ca8c2ce

金库: 0xf56cba49337a624e94042e325ad6bc864436e370

攻击合约: 0x700196e226283671a3de6704ebcdb37a76658805

攻击者钱包地址 (资金来源还是来自Tornado Cash): 0x8c1944fac705ef172f21f905b5523ae260f76d62

简单的攻击步骤如下所示。

攻击者创建了一个假的路由器（合约地址），然后在攻击者发送ETH时触发了一个存款事件。

攻击者向returnVaultAssets()传入少量的ETH，但路由器被判定为一个Asgard金库。

在Thorchain路由器上，它将ETH转发到假的Asgard上。

这创造了一个带有恶意memo的假存款事件。

Thorchain Bifrost监听成一个正常的存款，并由于糟糕的memo定义而退款给攻击者。

合约地址

转账1

转账2

转账3

转账4

转账5

转账6

攻击者的最后一笔转账。

到THORChain的交易通过包含自定义用户输入的链上的MEMO字段来传递用户的意图。

THORChain检查交易对象，以及MEMO以处理交易，所以必须注意确保MEMO和交易的有效性。如果不是，THORChain将自动退款。(参考资料)

黑客瞄准了一个退款逻辑。该攻击可以被命名为缺乏适当的多事件处理。

影响(~800万美金)

966.62 ALCX

20,866,664.53 XRUNE

1,672,794.010 USDC

56,104 SUSHI

6.91 YFI

990,137.46 USDT

RUNE的价格跌了25%，然而，持有人即将收到更多的坏消息。

就像之前的漏洞一样，在RUNE代币合约代码中发现了一个由于开发者主动做出的决定而存在的漏洞。

攻击发生后几个小时，许多地址开始收到一个以前未知的代币；UniH。

那些试图出售这种代币的人在批准其使用后，他们的RUNE余额全部被耗尽。

RUNE的transferTo函数使用tx.origin而不是msg.sender，这是Solidity文档中明确反对的，因为它允许与恶意合约的互动来转移你的RUNE。

在这种情况下，批准协议来使用UniH，就可以使钱包中的所有RUNE被盗，就像这个例子中一样。

从代码的评论中可以看出，这是一个团队已经预见到的漏洞，并且已经被确认为 "非标准"。

THORChain的开发者给黑客留下了指示的又一个示例。

来源: Mudit Gupta

THORChain再次翻车，他们不能责怪任何人，只能怪自己。

尽管THORChain可能不是DeFi的 "蓝筹股"，但它是一个成熟的参与者，许多人看到他们如此迅速地走下坡路会感到失望。

为什么是现在，而且是在这么快的时间内？

是THORChain团队内部发生了什么变化，还是他们惹恼了有动机伤害他们的人？

对大多数人来说，800万美元的报酬已经足够了，但这个匿名的反面英雄留下了大部分的战利品......

这是为了权力，而不是财富。

在这样一连串的重大错误之后，THORChain和他们狂热的追随者将何去何从？

REKT作为匿名作者的公共平台，我们对REKT上托管的观点或内容不承担任何责任。

捐赠 (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

声明:

REKT对我们网站上发布的或与我们的服务相关的任何内容不承担任何责任，无论是由我们网站的匿名作者，还是由 REKT发布或引起的。虽然我们为匿名作者的行为和发文设置规则，我们不控制也不对匿名作者在我们的网站或服务上发布、传输或分享的内容负责，也不对您在我们的网站或服务上可能遇到的任何冒犯性、不适当、淫秽、非法或其他令人反感的内容负责。REKT不对我们网站或服务的任何用户的线上或线下行为负责。