千里之堤毀于蟻穴 Fortress Protocol 慘遭攻擊_TRU

前言

北京時間2022年5月9日，知道創宇區塊鏈安全實驗室監測到BSC鏈上借貸協議FortressProtocol因預言機問題被攻擊，這是最近實驗室檢測到的第三起預言機攻擊事件，損失包括1,048枚ETH和400,000枚DAI，共計約300W美元，目前已使用AnySwap和Celer跨鏈到以太坊利用Tornado進行混幣。

知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。

基礎信息

美聯儲再次加息25基點:金色財經報道，美聯儲7月恢復加息，將基準利率上調25個基點至5.25%-5.50%區間，達到2001年以來的最高水平，符合市場預期。美聯儲重申將考慮累積的緊縮政策，并考慮滯后效應。[2023/7/27 16:00:55]

被攻擊Comtroller：0x01bfa5c99326464b8a1e1d411bb4783bb91ea629

被攻擊預言機地址：0xc11b687cd6061a6516e23769e4657b6efa25d78e

攻擊者地址：0xA6AF2872176320015f8ddB2ba013B38Cb35d22Ad

Arbitrum鏈上智能合約創建總量突破250萬，鎖倉總量超50億美元:金色財經報道，據Dune Analytics最新數據顯示，以太坊Layer2網絡Arbitrum鏈上智能合約創建總量突破250萬，本文撰寫時達到2,508,321個，鎖倉總量為50.62億美元，累計鏈上ERC-20資產總價值達到92.2億美元。歷史數據顯示，Arbitrum鏈上智能合約創建總量于2022年11月底突破100萬，4月中旬超200萬，這意味著該指標過去一個月時間內增長約25%。[2023/5/27 9:45:55]

攻擊合約：0xcD337b920678cF35143322Ab31ab8977C3463a45

幣安將上線TRU 1-20倍U本位永續合約:據官方公告，幣安宣布將于2023年3月7日20:00時上線TRU 1-20倍U本位永續合約。

另據行情顯示，TRU現報 0.1339 USDT, 24H漲幅為6.19%。[2023/3/6 12:44:26]

tx：0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf

漏洞分析

該項目是依舊是Compound的仿盤，但由于項目方在預言機實現注釋了原本存在的檢查導致不需要足夠的power便可以通過0xc11b687cd6061a6516e23769e4657b6efa25d78e#submit篡改價格；

許多加密SPAC交易由于市場情況面臨推遲或取消:7月9日消息，由于最近的市場暴跌，加密和 web3 公司與特殊目的收購公司 (SPAC) 之間的一些計劃合并被推遲或取消。早些時候總共有 14 家公司，例如元宇宙基礎設施公司 Infinite World、加密貨幣挖礦公司 Core Scietific、Cipher Mining 和 Bakkt，以及 USDC 支持者 Circle 于2019年與 SPACs 簽訂合并協議。然而，此后宣布的 14筆交易中只有 5 筆實際完成，因為 SPAC 合并因市場逆轉而崩潰。Circle 宣布與 Concord Acquisition Corp 合并，打算于去年 7 月上市。兩家公司隨后在 2 月份簽署了延期協議。

本周早些時候，eToro 宣布終止與Fintech acquisition Corp.的SPAC合并計劃。據悉，在2021年，SPAC 交易達到峰值，達到 81 筆交易，總計 1554.3 億美元。（Forbes）[2022/7/9 2:01:25]

攻擊者通過改變FTS在協議中的價格借走了其他池子中的資產，市場中的借貸池如下：

攻擊流程

1、攻擊者購買了FTS代幣并通過提案投票支持添加FTS作為抵押物，提案ID為11；

2、通過調用預言機submit函數改變FTS的價格；

3、攻擊者使用100個FTS作為抵押物調用enterMarket進入市場；

4、由于市場價格對于FTS的價值計算出現問題，攻擊者使用該抵押品直接調用borrow進行借款；

借取的資產：

5、由于100個FTS沒什么價值不需要取回，而攻擊者后續仍將其他用于第一步的FTS還在Pancake兌換進行了徹底的套現。

總結

本次攻擊原因是Compound仿盤在預言機使用時出現了問題。近期大量Compound仿盤項目被攻擊，我們敦促所有Fork了Compound的項目方主動自查，目前已知的攻擊主要歸結于如下幾個問題：

千里之堤毀于蟻穴。從內部調用可見，本次攻擊者使用getAllMarkets依次遍歷拿取了全部市場的底層資產并將FTS徹底套現。建議項目方對于自己有不一樣的實現上一定要建立在充分的理解和足夠的第三方安全審計上。一點小的誤差將可能導致項目的全盤損失。

Tags：FTSTRUPACSPANFTSOL幣trustwallet錢包下載v2.1.2安卓版Mars Space XSpartacats

BNB價格