一、事件描述

2022年10月2日，Transit Swap项目在Twitter上发布消息称项目遭受到黑客的攻击，被盗取了约2100万美金。

SharkTeam对于此事事情展开了技术指标分析，并归纳了安全防护方式，期待后面项目能够以此为戒，共铸区块链行业安全防线。

二、事件分析

攻击者帐户详细地址：

攻击进行详细地址：0x5f0b31aa37bce387a8b21554a8360c6b8698fbef，简记为0x5f0b

货币接受详细地址：0x75f2aba6a44580d7be2c4e42885d4a1917bffd46，简记为0x75f2

Ethereum攻击合同：0x17ff6c94ba3a49c72ef2f10782de8a6152f204ea，简记为0x17ff

Ethereum攻击买卖如下所示：

BSC攻击合同：0x8ca8fd9c7641849a14cbf72faf05c305b0c68a34，简记为0x8ca8

BSC攻击买卖如下所示：

就以BSC里的第一笔攻击买卖为例子，对攻击展开分析。

TxHash：0xb25c24e787d750925bd80fd4bf2c0a24e3b18cc73f695b49470e41d913201567

该买卖包括了4笔转帐，从4个帐户里将不一样的数量WBNB转到帐户0x75f2中。从所有买卖的具体时发现，每一笔转帐的执行过程还包含了4一部分，以第一笔转帐为例子：

（1）调用allowance函数查看货币准许，如下所示：

帐户0xcfbc把所有的WBNB准许给合同0xed1a。

（2）调用balanceOf函数查余额，如下所示：

帐户0xcfbc的WBNB账户余额为18.7

（3）调用balanceOf函数查余额，与（2）里的查余额同样。

（4）浏览合同0x8785bb8deae13783b24d7afe250d42ea7d7e9d72，简记为0x8785

由合同0x8ca8启用合同0x8785中签字数值0x006de4df的函数公式

随后，由合同0x8785启用合同0x0b47中签字数值0xd9c45357的函数公式。

从而，由合同0x0b47启用合同0xed1a中签字数值0x0a5ea466的函数公式，即claimTokens函数。

在其中，inputdata如下所示：

最终，合同0xed1a中的claimTokens函数会启用WBNB合同里的transferFrom函数。

将帐户0xcfbc所持有的每一个18.7WBNB迁移给帐户0x75f2，即攻击交易过程中第一笔转帐。

通过上述全过程，攻击者运用合同系统漏洞及其帐户0xcfbc的准许，自定inputdata，调用transferFrom函数将帐户0xcfbc的全部WBNB转移至攻击者自已的账户上。

为何攻击的人可以转出去客户核准的货币呢？

全部攻击环节中，攻击合同浏览了3个合同，即0x8785、0x0b47和0xed1a。我们都知道，Solidity合同里的调用函数归属于动态调用种类，能通过传达的主要参数来特定浏览的合同、启用的函数公式及相关的主要参数。显著这3个合同缺乏对网站访问的合同、启用的函数公式及相关的主要参数这3个方面的校检，促使攻击的人可以运用消费者对合同的货币转呈启用货币的转帐函数公式（transferFrom）启用客户的货币。

三、安全建议

攻击者运用了合同校检系统漏洞将客户核准的货币转移到自已的账户上。被攻击合同自身存有校检系统漏洞是本次攻击产生的主要原因，针对Solidity中的call函数，尤其是在具体业务应用中，提议按照实际业务流程限制启用的协议及其函数公式，可使用授权管理体制。

次之，消费者对合同无额度货币的审批都是引起攻击的原因之一，若每一次准许全是限定的，起码能确保没批的货币十分安全。因而，提议项目在获得客户准许的时候也可以定量分析准许，即便这种行为会严重影响一些客户体验。

针对消费者来说，准许买卖一定要谨慎，特别是所有准许的现象。

公司介绍：SharkTeam的发展目标是全方位维护Web3全球的安全性。团队人员遍布于北京、南京市、苏州市、美国硅谷，由全球各地资深的安全性专业人员高级科学研究人员构成，熟练区块链和区块链智能合约的最底层基础理论，提供专业的区块链智能合约财务审计、链上剖析、应急处置等工作。已经与区块链生态体系各行各业的重要参加者,如Polkadot、Moonbeam、polygon、OKC、Huobi Global、imToken、ChainIDE等创建合作关系关联。

Twitter：https://twitter.com/sharkteamorg

Discord：https://discord.gg/bFmbFy74 

Telegram：https://t.me/sharkteamorg 

大量区块链安全咨询和分析，点击进入连接查询

D查下|链上风险性审查 https://m.chainaegis.com

转载：驼鸟区块链