可避天災，難免人禍 —— Furucombo 被黑分析_UCO

據鏈聞消息，著名DeFi項目Furucombo被黑，損失超1400萬美元。慢霧安全團隊第一時間介入分析，并將攻擊細節分享給大家。

攻擊細節分析

本次發生問題的合約在Furucombo本身的代理合約當中。整個攻擊流程很簡單。攻擊者通過設置了Furucombo的AaveV2Proxy的邏輯地址導致后續通過Furucombo代理合約調用的邏輯全部轉發到攻擊者自己的惡意合約上，導致任意資金被盜。

但是如果事情那么簡單，那么本次分析不值一提。問題遠比想象的復雜得多。

如上圖所示攻擊者的入口在Furucombo的batchExec函數，我們先對batchExec函數進行分析：

以上是FurucomboProxy合約的batchExec函數的具體實現，其中_preProcess和_postProcess合約分別是對調用前后做一些數據上的處理，不涉及具體的調用邏輯，這邊可以先忽略。我們主要觀察核心的_execs函數：

歐易OKX 金融市場總監：Web3將無可避免地對互聯網盈利模式產生影響:7月14日消息，歐易OKX金融市場總監Lennix在7月14日舉辦的全球Web3生態創新峰會中表示，Web3暫時不會全面取代Web2的互聯網盈利模式，但卻會對其產生不可避免的巨大影響。

Lennix認為，如果企業有方法說服用戶繼續通過授權個人隱私數據來換取更精準的產品服務以及資訊，仍可以實現Web2.0式的創收。但用戶在個人數據層面上的私權觀念意識是無法被扭轉的。

據了解，出席本次活動的有SUSS校長Cheong Hee Kiat、新躍社科大學教授李國權、華為云亞太地區高管等。[2022/7/14 2:12:34]

通過對execs代碼的分析不難發現，函數的主要邏輯是對configs數組的數據做檢查，并根據configs數組的數據對data進行一些處理。但是回顧上文中攻擊者的調用數據，不難發現攻擊者的調用數據中，configs的數據是一個0地址：

拜登：隨著美聯儲通過大幅加息來抑制通脹，經濟衰退“并非不可避免”:6月17日消息，美國總統拜登表示，隨著美聯儲通過大幅加息來抑制通脹，經濟衰退“并非不可避免”。(金十)[2022/6/17 4:33:37]

這里有一個trick，由于0地址是一個EOA地址，所有對EOA地址的函數調用都會成功，但是不會返回任何結果。結合這個trick，execs函數中的關于configs數據的部分可以先暫時忽略。直接看到最后的核心_exec函數：

_exec函數的邏輯也很簡單，在校驗了_to地址后，直接就將data轉發到指定的_to地址上了。而通過對攻擊交易的分析，我們能發現這個_to地址確實是官方指定的合法地址。

最后一步，便是調用_to地址，也就是官方指定的AaveV2Proxy合約的initialize函數，將攻擊者自己的惡意地址設置成AaveV2Proxy合約的邏輯地址。通過對Furucombo合約的分析，可以發現整個調用流程上沒有出現嚴重的安全點，對調用的地址也進行了白名單的檢查。那么問題只能是出在了對應要調用的代理邏輯上，也就是AaveV2Proxy合約。

俄羅斯VTB銀行董事長：比特幣是假幣，數字貨幣出現不可避免:俄羅斯第二大銀行VTB董事長兼總裁Andrey Kostin表示，他不喜歡比特幣。他認為比特幣是假幣，并將加密挖礦技術比作中世紀罪犯偽造貨幣的方式。然而，他承認CBDC的推出是重要的，俄羅斯將很快開始數字盧布試驗。Kostin也承認世界正在走向數字化，數字貨幣的出現是不可避免的。然而，他堅持認為，這些應由央行控制。（U.Today）[2021/6/4 23:12:32]

我們直接分析AaveV2Proxy合約的initialize函數的邏輯：

可以看到initialize函數是一個public函數，并在開頭就檢查了_implementation是否是0地址，如果是0地址，則拋出錯誤。這個檢查的目的其實就是檢查了_implementation是否被設置了，如果被設置了，就無法再次設置。根據這個設置，不難想出initialize這個函數只能調用一次。除非AaveV2Proxy從來沒有設置過_implementation，否則這個調用是不會成功的。難道Furucombo真的沒有設置過對應的_implementation嗎？帶著這樣的疑問，我們檢查了交易內的狀態變化。如下：

聲音 | 肖磊：在數字貨幣的交易和支付市場 國家級別的競爭將不可避免:財經作家肖磊昨日發文表示，中央為什么要支持深圳開展數字貨幣研究與移動支付等創新應用呢？答案是顯而易見的，深圳作為中國在金融市場的第三極，應該負擔起先行先試的權利和責任。他分析，未來關于數字貨幣和移動支付的機會，存在于三個方面：第一個是中國的數字貨幣，具體分為哪幾個環節，每個環節上的具體服務公司，應該具備什么條件；第二個是數字貨幣在融合進移動支付的過程中，現有的手機廠商、互聯網巨頭、區塊鏈企業、金融公司等，各自如何切入服務體系；第三個是中國的數字貨幣，對全球各類虛擬貨幣，比如比特幣等，是否會產生定價和交易影響，又如何將現有各類持續運行的市場主體企業納入其中，借力打力，從而提升中國官方數字貨幣的全球化屬性和影響力。肖磊還表示，種種跡象表明，未來金融市場，在數字貨幣領域，尤其是在數字貨幣的交易和支付市場，國家級別的競爭將不可避免。[2019/8/20]

可以看到，交易中改變了存儲位置為0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc的內容，而寫入的內容正是攻擊者自己的惡意合約地址0x86765dde9304bea32f65330d266155c4fa0c4f04。

聲音 | Datafloq創始人：全球性監管可避免扼殺區塊鏈創新:據BTCmanager消息，荷蘭公司Datafloq的創始人兼首席執行官Mark Van Rijeman在采訪中表示，區塊鏈技術提供了一個解決許多全球化問題的想法，它可以打擊腐敗和假新聞、它可以幫助身份驗證、幫助對抗氣候變化引發的問題和沖突，甚至更包容的說，區塊鏈可以用作解決聯合國可持續發展目標以及應對氣候變化的工具。Mark表示，至于監管方面的問題，我們需要的是全球監管。加密貨幣和區塊鏈是分散性的，這意味著它可以跨境運行，也意味著它是全球性的。因此僅僅依賴一個國家的監管是不起作用的。因為如果一個國家禁止它，它可以轉向下一個國家，這將很難阻止。并且，全球性的監管也是避免扼殺創新最有效的方式之一。據悉，Mark Van Rijeman被評為全球十大大數據影響者之一，也是最具影響力的區塊鏈發言人之一。[2018/9/24]

而0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc這個位置，正是_implementation數據的存儲地址。

也就是說，官方從來沒有設置過AaveV2Proxy合約的_implementation地址，導致攻擊者鉆了這個空子，造成了Furucombo資產損失。

總結

通過對整個事件的分析來看，Furucombo此次事故并不在安全漏洞的范疇內，主要的原因在于官方將未啟用的AaveV2Proxy合約添加進了自己的白名單中，并且未對AaveV2Proxy合約進行初始化，導致攻擊者有機可乘。

建議

目前，由于Furucombo遭受攻擊，導致任何將代幣授權過給Furucombo合約(0x17e8ca1b4798b97602895f63206afcd1fc90ca5f)的用戶都將面臨資金損失的風險。

慢霧安全團隊建議與Furucombo交互過的用戶檢查是否有將相關代幣授權給Furucombo合約。如有授權，應及時撤銷相關授權，避免進一步損失。

**參考鏈接：**

代幣授權檢查地址：https://approved.zone/

攻擊交易：

__https://ethtx.info/mainnet/0x6a14869266a1dcf3f51b102f44b7af7d0a56f1766e5b1908ac80a6a23dbaf449

往期回顧

王者開局偶遇豬隊友——簡析AlphaFinance&Cream被黑

BitMart入駐慢霧區，發布「安全漏洞與威脅情報賞金計劃」

引介｜一種安全的LP價格的獲取方法

千萬美元損失背后的閃電貸攻擊——yearnfinance被黑簡析

如何通過恒定乘積黑掉SushiSwap？簡析SushiSwap第二次被攻擊始末

慢霧導航

慢霧科技官網

https://www.slowmist.com/

慢霧區官網

https://slowmist.io/

慢霧GitHub

https://github.com/slowmist

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

幣乎

https://bihu.com/people/586104

知識星球

https://t.zsxq.com/Q3zNvvF

火星號

http://t.cn/AiRkv4Gz

鏈聞號

https://www.chainnews.com/u/958260692213.htm

免責聲明：作為區塊鏈信息平臺，本站所發布文章僅代表作者個人觀點，與鏈聞ChainNews立場無關。文章內的信息、意見等均僅供參考，并非作為或被視為實際投資建議。

本文來源于非小號媒體平臺：

慢霧科技

現已在非小號資訊平臺發布68篇作品，

非小號開放平臺歡迎幣圈作者入駐

入駐指南：

/apply_guide/

本文網址：

/news/9726853.html

免責聲明：

1.資訊內容不構成投資建議，投資者應獨立決策并自行承擔風險

2.本文版權歸屬原作所有，僅代表作者本人觀點，不代表非小號的觀點或立場

上一篇：

盤點零知識證明代表性項目：如何影響和塑造區塊鏈生態系統？

Tags：COMFURUCOCOMBOvechaincomFURYX幣kucoinprocombo幣最新消息

以太坊