UmbNetwork獎勵池攻擊事件分析_UMB

一、前言

北京時間2022年3月21日，知道創宇區塊鏈安全實驗室?監測到BSC鏈和以太坊上的UmbNetwork獎勵池遭到黑客攻擊，損失約70萬美元。實驗室第一時間對本次事件進行跟蹤并分析。

二、基礎信息

攻擊者地址：0x1751e3e1aaf1a3e7b973c889b7531f43fc59f7d0

韓國WeMade向Thumb Age投資405萬美元擴大其區塊鏈游戲業務:金色財經報道，韓國視頻游戲開發商WeMade宣布已向韓國游戲發行商Thumb Age投資50億韓元（約合405萬美元），以擴大其區塊鏈游戲業務。通過這項投資，Thumb Age的手游“Dekaron M”將加入Wemix區塊鏈游戲平臺。WeMade計劃今年年底之前為100款使用Wemix作為主要貨幣的游戲提供服務。（news1）[2022/3/8 13:44:50]

攻擊合約：0x89767960b76b009416bc7ff4a4b79051eed0a9ee

Bithumb將與300FIT合作發放韓國奧運獎牌得主NFT:2月8日消息，韓國加密貨幣交易所Bithumb表示，每當韓國在北京冬奧會上贏得獎牌時，它都會向符合標準的交易者分發數字藝術NFT。

Bithumb與區塊鏈體育內容平臺300FIT達成合作，這些NFT將面向交易價值超過100萬韓元（835美元）FIT的交易者發放。Bithumb將隨機分發韓國奧運獎牌得主的10個常規數字藝術和1個特殊數字藝術NFT。

據悉，韓國目前在北京冬奧會上沒有獲得獎牌。（Forkast）[2022/2/8 9:37:52]

StakingRewards合約:0xB3FB1D01B07A706736Ca175f827e4F56021b85dE

動態 | 不到一個月內2.12億枚XRP從Bithumb錢包轉至未知錢包:金色財經報道，Whale Alert在過去不到一個月內發現共六筆、總價值2.95億美元的2.12億枚XRP從韓國交易所Bithumb擁有的錢包轉移到了未知錢包。最近一次轉移發生在11小時前，共4500萬枚XRP。[2020/1/23]

以太坊交易哈希：0x33479bcfbc792aa0f8103ab0d7a3784788b5b0e1467c81ffbed1b7682660b4fa

BSC交易哈希：0x784b68dc7d06ee181f3127d5eb5331850b5e690cc63dd099cd7b8dc863204bf6

三、漏洞分析

此次事件，漏洞關鍵在于UmbNetwork獎勵池的StakingRewards合約中的?_balance?函數出現溢出漏洞，合約未校驗檢查?balance?的值，攻擊者通過?amount?發起下溢攻擊，抽空了池子中的代幣。

從合約代碼我們可以看出，合約未正確使用SafeMath安全庫且未作溢出檢查，導致此次攻擊發生。

四、攻擊流程

攻擊者從BSC鏈發起攻擊獲取156枚pancake-LP代幣:

攻擊者在以太坊上發起攻擊獲取8792枚UNI-V2代幣:

隨后攻擊者分別將代幣轉分別換成ETH、UMB和BNB，獲利約70萬美元。

五、分析

本次攻擊事件核心是由于合約未正確使用SafeMath庫并且未對合約進行溢出檢查導致合約出現溢出漏洞，而導致了此次事件的發生，建議項目方多加注意檢查合約是否正確使用各類安全庫。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：UMBHUMBITITHumbrellaprotocolbithumb交易所中文名bitopicligand翻譯bitcoinfaith

歐易交易所