猖獗黑客“薅”交易所羊毛？FTX交易所遭到Gas竊取攻擊事件分析_OIN

2022年10月13日，據據BeosinEagleEyeWeb3安全預警與監控平臺的輿情消息，FTX交易所遭到gas竊取攻擊，黑客利用FTX支付的gas費用鑄造了大量XENTOKEN。

金色財經邀請Beosin安全團隊第一時間對事件進行了分析，結果如下：

1、事件相關信息

其中一部分攻擊交易：

0xc96b84cd834655290aa4bae7de80a3c117cc19d414f5bcf2fb85b8c5544300890x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d690x6bada8e084f8d3b62311f0b6eda10f2690e7542dab75a0de436a640036bccf94

過去4小時爆倉1.16億美元，BTC爆倉5524.72萬美元:金色財經報道，據coinglass數據顯示，過去4小時爆倉1.16億美元，其中，多單爆倉2632.53萬美元，空單爆倉8988.56萬美元。BTC爆倉5524.72萬美元，多單爆倉1376.58萬美元，空單爆倉4148.14萬美元。ETH爆倉3111.83萬美元。[2023/6/22 21:53:19]

其中一個攻擊者地址0x1d371CF00038421d6e57CFc31EEff7A09d4B8760其中一個攻擊合約0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3被攻擊地址0xC098B2a3Aa256D2140208C3de6543aAEf5cd3A94(FTX熱錢包地址)

Puffer Finance宣布獲得以太坊基金會資助:5月18日消息，Puffer Finance宣布已從Ethereum基金會獲得了一筆資助，以幫助去中心化以太坊驗證者集。該筆資助將用于支持開發開源項目Secure-Signer，一種遠程簽名工具，旨在提高驗證者密鑰的安全性，防止驗證者因軟件漏洞或用戶錯誤而被削減。

此外，Puffer宣布測試網即將推出。[2023/5/18 15:11:07]

2、攻擊流程

以其中一筆攻擊交易為例(0x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d69)第一步，攻擊者先在鏈上部署攻擊合約(0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3)第二步，FTX熱錢包地址會向攻擊合約地址轉入小額的資金，利用攻擊合約(0xCba9...7FD3)進行批量創建子合約。由于整個攻擊中創建了大量合約，并且每次執行完子合約之后，子合約都會自毀，所以以下圖為例部分展示。

JPX收購野村投資的區塊鏈企業BOOSTRY 5%的股份:金色財經報道，東京證券交易所運營商JPX將收購由野村證券和野村綜合研究所(NRI)成立的區塊鏈基礎設施公司BOOSTRY 5%的股份，SBI持有該公司的少數股權。交易完成后，野村證券的持股比例從56%降至51%，但NRI的持股比例為34%，SBI的持股比例為10%。

BOOSTRY成立于2019年，目前有15個成員組成的聯盟，使用該平臺進行代幣化證券化產品和公司債券。[2023/4/4 13:44:39]

證券巨頭SBI收購BITPoint的控股權:金色財經報道，日本證券和銀行業巨頭SBIHoldings搶購BITPoint的控股權，BITPoint是其SBI VC Trade加密交易平臺的國內競爭對手之一。BITPoint的運營商、忠誠度積分提供商Remixpoint的Per Nikkei表示，它將與SBI“形成資本和業務聯盟”，試圖通過加密“合作”來“擴展”其業務。這筆交易將涉及SBI以9860萬美元的價格購買Remixpoint5%的股份和65,484股的51%控股權。這將授予SBI在BITPoint的“超過一半的總投票權”。報告稱，BITPoint的市值估計超過1.93億美元。它指出，該交易還涉及一項收益條款——如果BITPoint滿足多個財務目標，該條款將使Remixpoint有權獲得未來的補償。（cryptonews）[2022/5/15 3:16:40]

?第三步，接下來子合約fallback()函數去向Xen合約發起鑄幣請求，如下函數，claimRank()函數傳入一個時間期限進行鑄幣，鑄幣條件是只用支付調用gas費，并無其他成本，并且claimMintRewardAndShare()函數為提取函數，該函數只判斷是否達到時間期限，便可無條件提取到任何非零地址。但在此次調用過程中，交易發起者為FTX熱錢包地址，所以整個調用過程的gas都是由FTX熱錢包地址所支付，而Xen鑄幣地址為攻擊者地址。

前三個步驟，重復多次，并且每次重復過程中都會將已到期的代幣提取出來，并且同時發起新的鑄幣請求，黑客達成他的目標。

3、漏洞分析

本次攻擊主要利用了FTX項目沒有對接收方為合約地址進行任何限制，也沒有對ETH的gasLimit進行限制，導致攻擊可以利用合約來鑄造XEN代幣進行獲利。截止發文時，Beosin安全團隊通過BeosinTrace對被盜資金進行追蹤分析，FTX交易所損失81ETH，黑客通過DODO，Uniswap將XENToken換成ETH轉移。

BeosinTrace資金追蹤圖

4、事件總結

針對本次事件，Beosin安全團隊建議：1.對錢包接收為合約的地址進行限制。2.對業務中存在gas風險的業務對gaslimit進行足夠小的限制。

Tags：INTOINPOINTFTXFintabReucoinGDEX PointCoinbase Pre-IPO tokenized stock FTX

Gate.io