Poly Network攻擊關鍵步驟深度解析_HAI

北京時間2021年8月10日，跨鏈橋項目Poly Network遭遇攻擊，損失超過6億美金。雖然攻擊者在后續償還被盜數字貨幣，但是這仍然是區塊鏈歷史上涉及金額最大的一次攻擊事件。由于整個攻擊過程涉及到不同的區塊鏈平臺，并且存在合約以及Relayer之間的復雜交互，對于攻擊的完整過程和漏洞的根本原因，現有分析報告并未能梳理清楚。

整個攻擊分為兩個主要階段，包括修改keeper簽名和最終提幣。對于第二階段，由于keeper簽名已經被修改，因此攻擊者可以直接構建惡意提幣交易，具體可以參見我們之前的報告。然而對于修改keeper簽名的交易是如何最終在目標鏈執行的，目前并沒有詳細的文章闡明。而這一步是攻擊的最核心步驟。

本報告從修改keeper簽名交易入手(Ontology鏈上交易0xf771ba610625d5a37b67d30bf2f8829703540c86ad76542802567caaffff280c)，分析了背后的原理和漏洞的本質。我們發現以下幾個原因是Keeper能被修改的原因：

源鏈上(Ontology)的relayer沒有對上鏈的交易做語義校驗，因此包含修改keeper惡意交易可以被打包到poly chain上

目標鏈上(以太坊)上的relayer雖然對交易做了校驗，但是攻擊者可以直接調用以太坊上的EthCrossChainManager合約最終調用EthCrossChainData合約完成簽名修改

攻擊者精心夠著了能導致hash沖突的函數簽名，從而調用putCurEpochConPubKeyBytes完成對簽名的修改

整個過程中的交互流程如下：

Poly Network：10條區塊鏈上57種資產受到黑客攻擊影響，項目團隊應盡快撤出流動性:7月3日消息，跨鏈互操作協議Poly Network發推稱，其服務仍將繼續中止，懇請網絡安全專業人士提供專業幫助。此次被攻擊導致10條區塊鏈上的57種資產受到影響，包括以太坊、BNB Chain、Polygon、 Avalanche、Fantom、Optimism、 Arbitrum、 Gonosis 、 Heco、OKX等。

Poly Network表示，已經與CEX和執法機構展開溝通，尋求幫助，希望與攻擊者合作，歸還用戶資產，避免潛在的法律后果。同時，為了盡量減少進一步的風險，Poly Network已聯系大多數項目團隊，敦促其從DEX中撤出流動性，并建議持有受影響資產的用戶盡快撤回流動性、解鎖其LP代幣。[2023/7/3 22:14:01]

Ontology交易 -> Ontology Relayer -> Poly Chain -> Ethereum Relayer -> Ethereum

以太坊

0x838bf9e95cb12dd76a54c9f9d2e3082eaf928270: EthCrossChainManager

0xcf2afe102057ba5c16f899271045a0a37fcb10f2: EthCrossChainData

0x250e76987d838a75310c34bf422ea9f1ac4cc906: LockProxy

0xb1f70464bd95b774c6ce60fc706eb5f9e35cb5f06e6cfe7c17dcda46ffd59581: 修改keeper的交易

Sepolia測試網現在是Chainlink的主要以太坊測試網:金色財經報道，Chainlink在社交媒體上發文表示，Sepolia測試網現在是Chainlink的主要以太坊測試網，其核心服務如價格信息流、VRF、自動化和功能已經在網絡上運行。開發者可以使用Chainlink水龍頭訪問Sepolia ETH和LINK。[2023/3/5 12:42:39]

Ontology

0xf771ba610625d5a37b67d30bf2f8829703540c86ad76542802567caaffff280c: 修改keeper的交易

Poly

0x1a72a0cf65e4c08bb8aab2c20da0085d7aee3dc69369651e2e08eb798497cc80: 修改keeper的交易

整個攻擊大致可以分為三個步驟。第一個步驟是在 Ontology 鏈生成一條惡意交易(0xf771ba610625d5a37b67d30bf2f8829703540c86ad76542802567caaffff280c)，第二個步驟是修改以太坊EthCrossChainData合約中的keeper簽名，第三個步驟構造惡意交易發起最終攻擊和提幣。

步驟一

攻擊者首先在Ontology發起了一筆跨鏈交易（0xf771ba610625d5a37b67d30bf2f8829703540c86ad76542802567caaffff280c），里面包含了一個攻擊payload:

Cere Network獲得3100萬美元的融資 Polygon和Republic領投:金色財經報道，區塊鏈管理系統開發商Cere Network表示，它在由投資平臺Republic和Polygon領投的一輪融資中籌集了3100萬美元，資金將用于新員工、開發者網絡增長和應用程序開發。公司還將利用這筆資金加速將其去中心化數據云集成到Polygon的協議中，預計在與Polkadot整合的第三季度末完成。（Coindesk）[2021/9/9 23:13:11]

可以看出交易包含了精心設計的函數名（圖中以6631開頭的數字，轉換后即 f1121318093），目的在于通過造成哈希沖突（hash collision）的方式調用putCurEpochConPubKeyBytes函數（屬于以太坊上的EthCrossChainData合約）。關于哈希函數沖突的細節在網絡上已有很多討論，可以參考.

隨后，該筆交易被Ontology Relayer 接收，注意這里并沒有很嚴格的校驗。該交易會通過Relayer在Poly Chain成功上鏈（0x1a72a0cf65e4c08bb8aab2c20da0085d7aee3dc69369651e2e08eb798497cc80）。Ethereum Relayer會感知到新區塊的生成。

然而，這筆交易被Ethereum Relayer拒絕了。原因在于Ethereum Relayer對目標合約地址有校驗，只允許LockProxy合約作為目標地址，而攻擊者傳入的是EthCrossChainData地址。

因此，攻擊者攻擊之路在此中斷。但如前所述，包含惡意payload的攻擊交易已經在Poly Chain成功上鏈，可被進一步利用。

SushiSwap已在Polygon版本啟用限價單功能:官方消息，SushiSwap已在Polygon版本上線限價單功能，隨后將在以太坊主網上線此功能。[2021/7/19 1:01:42]

步驟二

攻擊者手動發起交易，調用EthCrossChainManager合約中的verifyHeaderAndExecuteTx函數，將之前一步保存在Ploy Chain區塊中的攻擊交易數據作為輸入。由于該區塊是poly chain上的合法區塊，因此可以通過verifyHeaderAndExecuteTx中對于簽名和merkle proof的校驗。然后執行EthCrossChainData合約中的putCurEpochConPubKeyBytes函數，將原本的4個keeper修改為自己指定的地址（0xA87fB85A93Ca072Cd4e5F0D4f178Bc831Df8a00B）。

步驟三

在keeper被修改之后，攻擊者直接調用目標鏈上的verifyHeaderAndExecuteTx函數（而不需要再通過poly chain -- 因為keeper已經被修改，攻擊者可以任意簽署在目標鏈看來合理的poly chain上的塊）,最終調用至Unlock函數（屬于LockProxy合約），大量地轉移資金，給項目方帶來了嚴重的損失。具體的攻擊細節可參考我們之前的報告。

在本攻擊過程中，Ontology方和以太坊方均有Relayer負責將來自Ontology的交易在poly Chain上鏈，以及將poly chain上的交易放到以太坊。這兩個Relayer是由Go語言實現的服務進程。

然而我們發現，這兩個Relayer都缺乏有效的校驗。這導致

MXC抹茶鎖倉挖礦POLS認購額度超5800萬MX 最高年化收益觸達17200%:據官方消息，MXC抹茶第二期新幣挖礦產品增設“無上限MX挖礦POLS額度”，當前認購額度超過5800萬MX，最高年化收益觸達17200% 。本期新幣挖礦產品支持鎖倉MX挖礦POLS，單名用戶最低認購額度100MX，總認購額度無上限限制。詳情請查看原文[2020/10/2]

攻擊者可以在Ontology構造一條惡意的跨鏈交易，并且成功打包到poly chain上。

雖然在以太坊的Relayer具有校驗功能，但是攻擊者可以直接同以太坊上的鏈上合約進行交互，直接執行惡意的函數。

Ontology Relayer完全信任來自Ontology上的跨鏈交易

Poly Network 的 ont_relayer(https://github.com/polynetwork/ont-relayer) 負責監聽 Ontology 鏈上的跨鏈交易并將其打包入傳入Poly Chain.

注：

在Ontology Relayer中，Side 指 Ontology Chain; Alliance 指 Poly Chain.

CrossChainContractAddress 是 Ontology 鏈上原生編號為 09 的智能合約.

上圖中，Ontology Relayer啟動時開啟三個 Goroutines 分別負責監聽 Ontology Chain 和 Poly Chain 的跨鏈交易，以及對 Poly Chain 上的跨鏈交易做狀態檢查。在本報告中，我們只關注69行的監聽Side的代碼邏輯。

在上圖中，Ontology Relayer 調用 Ontology 鏈提供的 RPC 接口（第 215 行，調用SDK函數 GetSmartContractEventByBlock) 獲取區塊中觸發的智能合約事件;然后在第 228 和 232 行表明 Ontology Relayer 只監聽 Ontology Chain 上由 CrossChainContractAddress 觸發的 makeFromOntProof 事件;

上圖中，在處理 Ontology Chain 上的跨鏈交易時，Ontology Relayer 總共做了五次校驗，分別是兩次向 Ontology Chain 發送的 RPC 請求校驗(check 1 和 check 4), 以及三次參數是否為空的校驗(check2, check3, 和check5)。這五次校驗都屬于常規校驗，并未對來自 Ontology Chain 上的跨鏈交易做語義上的校驗; 第 167 和 171 行取出了在目標鏈上執行所需要的交易參數信息（proof, auditPath）;第 183 行向 Poly Chain 發送交易;

Ontology Relayer 在構造了 Poly Chain 上的交易后便向 Poly Chain 發起 RPC 請求發送交易（第 164 行，函數調用 SendTransaction);

這個名為 ProcessToAliianceCheckAndRetry 的 Goroutine 也僅僅是做了重發失敗交易的工作，仍然未對來自 Ontology Chain 上的跨鏈交易做任何語義上的校驗。

至此，我們可以看出 ont-relayer 監聽所有來自 Ontology Chain 由 CrossChainContractAddress 觸發的 makeFromOntProof 事件，并未對其做任何語義上的校驗，便向 Poly Chain 轉發了交易。而任何人向 Ontology 發送的任何跨鏈交易都會觸發 CrossChainContractAddress 的 makeFromOntProof 事件，所以 Ontology Relayer 會將所有來自 Ontology 上的跨鏈交易都轉發到 Poly chain 上。

Ethereum Relayer中的無效校驗

Ethereum Relayer 負責監聽 Poly Chain 并將目標鏈為 Ethereum 的跨鏈交易轉發到 Ethereum 上。

Ethereum Relayer 啟動一個 Goroutine 來監控 Poly Chain;

Ethereum Relayer監聽所有 Poly Chain 上目標鏈為 Ethereum 的跨鏈交易 （第 275 至 278 行）; Ethereum Relayer會校驗跨鏈交易的目標合約是否為 config.TargetContracts中指定的合約之一，如果不是則不會發送這筆跨鏈交易到 Ethereum 上（第 315 行）。

雖然 Ethereum Relayer 對 Poly Chain 上的跨鏈交易做了部分校驗，比如限制了目標合約，但是與 Poly Chain 不同，任何人都可以向 Ethereum 上的EthCrossChainManager合約發送交易。換句話說，Ethereum Relayer 在這里做的校驗沒有實際的意義，只要包含惡意payload的跨鏈交易被成功打包進了 Poly Chain（雖然沒有被relay轉發到以太坊鏈上）, 那么任何人都可以直接使用已經打包好的區塊數據將payload發送到以太坊EthCrossChainManager合約并執行（這個過程中，可以通過merkle proof的校驗，因為是已經正常上鏈的poly chain區塊數據）。

攻擊者正是利用了上述兩個缺陷，完成了攻擊流程中的步驟一和步驟二。

通過對整個攻擊流程的完整梳理和詳盡分析，我們認為Relayer的不完整校驗是攻擊得以發生的根本原因。其它（諸如利用hash沖突等）方面則更多地屬于比較精彩的攻擊技巧。總而言之，跨鏈的校驗和鑒權是跨鏈系統安全的關鍵所在，值得社區付出更多的努力。

Tags：AINChainHAICHADAPchainOrlando Chainpirate-chainrexchain

比特幣價格今日行情