Cointime

Cointime

Download App
iOS & Android

สัญญา Biswap V3Migrator เต็มไปด้วยช่องโหว่ และการโจมตีโทเค็นปลอมทำให้ผู้ใช้เสียเงิน

Validated Project

เมื่อวันที่ 1 กรกฎาคม 2023 ผู้โจมตีใช้ประโยชน์จากช่องโหว่ในสัญญา Biswap V3Migrator บน Binance Smart Chain (BSC) เพื่อขโมยโทเค็นมูลค่าประมาณ 140,000 ดอลลาร์จากผู้ใช้ที่ไม่สงสัย ผู้โจมตีใช้การโจมตีด้วยโทเค็นปลอมเพื่อควบคุมพารามิเตอร์ของฟังก์ชันการย้ายข้อมูลและสูบฉีดสภาพคล่องจากผู้ใช้ที่อนุญาตโทเค็นผู้ให้บริการสภาพคล่อง (LP) ในสัญญา V3Migrator การโจมตีนี้เกิดขึ้นได้เนื่องจากสัญญา V3Migrator ไม่มีพารามิเตอร์การตรวจสอบเมื่อย้ายจาก Biswap V2 ไปยัง Biswap V3 หากการโจมตีไม่ถูกหยุดลงทันเวลา มันจะทำให้ Biswap สูญเสียทรัพย์สินไปเกือบสิบล้านดอลลาร์

ซื้อขาย

ผู้โจมตีดำเนินการธุรกรรมสามรายการเพื่อดำเนินการโจมตี: https://bscscan.com//tx/0xe13ec0941580d3c286b46fa6566f20195bdd52b3d65fc7ff4a953a8fc774c6c4

https://bscscan.com//tx/0xe5c89e9ac217e4e16c2399f3597f7b5fbb73b45c1d3360788ee51ea2561def3a

https://bscscan.com//tx/0x8693a95f8481ba02ceaabed8e95b4e1eb8ac589c69c027c96b12ac5295714c3f

ผู้โจมตี

ที่อยู่ของผู้โจมตีคือ [ 0xa1e31b29f94296fc85fac8739511360f279b1976 ]

สัญญาการโจมตี

สัญญาการโจมตีคือ [ 0x1d448e9661c5abfc732ea81330c6439b0aa449b5 ] สัญญานี้ใช้งานโดยผู้โจมตีในวันที่ 30 มิถุนายน 2023 หนึ่งวันก่อนการโจมตี สัญญามีตรรกะง่ายๆ ในการเรียกสัญญา V3Migrator ด้วยพารามิเตอร์ต่างๆ

สัญญาที่ถูกโจมตี

สัญญาที่ถูกโจมตีคือ [ 0x839b0afd0a0528ea184448e890cbaaffd99c1dbf ] นี่คือสัญญา V3Migrator ที่ปรับใช้โดย Biswap เมื่อวันที่ 28 มิถุนายน 2023 สัญญานี้ออกแบบมาเพื่อช่วยผู้ใช้ย้ายโทเค็น LP จาก Biswap V2 ไปยัง Biswap V3

ขั้นตอนการโจมตี

ผู้โจมตีใช้ประโยชน์จากข้อบกพร่องในสัญญา V3Migrator ทำให้สามารถแก้ไขพารามิเตอร์ของฟังก์ชันการย้ายข้อมูลได้ ขั้นตอนการโจมตีมีดังนี้:

  1. เหยื่ออนุญาตโทเค็น LP ในสัญญา Biswap V3Migrator
  2. ผู้โจมตีเผาโทเค็น V2 LP ของเหยื่อและเพิ่มสภาพคล่อง V3 ด้วยโทเค็นปลอม ในขั้นตอนนี้ token0 และ token1 ของ V2 LP ยังอยู่ในสัญญา V3Migrator
  3. ผู้โจมตีเผาโทเค็น V2 LP ปลอมและเพิ่มสภาพคล่อง V3 ด้วย token0 และ token1 ของ V2 LP และ token0 และ token1 ส่วนเกินที่ไม่ได้ใช้ในการเพิ่มสภาพคล่อง V3 จะถูกโอนกลับไปยังผู้โจมตี ในขณะเดียวกัน สภาพคล่อง V3 ในขั้นตอนนี้ก็เป็นของผู้โจมตีเช่นกัน

สาเหตุ

สาเหตุของการโจมตีคือสัญญา V3Migrator ของ Biswap ไม่มีพารามิเตอร์การตรวจสอบเมื่อย้ายจาก Biswap V2 ไปยัง Biswap V3 โดยเฉพาะในสัญญามีประเด็นสำคัญคือ

  • สัญญาไม่ได้ตรวจสอบว่าพารามิเตอร์ token0 และ token1 ตรงกับโทเค็นจริงในโทเค็น V2 LP;

ปัญหาเหล่านี้ทำให้ผู้โจมตีสามารถส่งโทเค็นปลอมและจำนวนเงินไปยังฟังก์ชันการย้ายข้อมูล และขโมยโทเค็นจริงจากผู้ใช้ที่อนุญาตโทเค็น LP ไปยังสัญญา V3Migrator

รหัสกุญแจ

ทรัพย์สินเสียหาย

ผู้โจมตี [0xa1e31b29f94296fc85fac8739511360f279b1976] ได้รับทรัพย์สินอย่างผิดกฎหมายสูงถึง $140,000

กระแสเงินทุน

ผู้โจมตีถอนสภาพคล่องเพื่อแลกกับ $BNB

ในท้ายที่สุด ผู้โจมตีได้โอนเงิน 603 $BNB ให้กับ Tornadocash เพื่อใช้ในการฟอกเงิน

ป.ป.ช

https://github.com/SunWeb3Sec/DeFiHackLabs/blob/main/src/test/Biswap_exp.sol

คำแนะนำด้านความปลอดภัย

ขอแนะนำให้ผู้ใช้ยกเลิกการอนุญาต Biswap V3Migrator: https://bscscan.com/tokenapprovalchecker

สรุปแล้ว

ตัวอย่างทั่วไปคือการโจมตี Biswap การโจมตีโทเค็นปลอมใช้ช่องโหว่ DEX บน BSC อย่างเต็มที่เพื่อเก็บเกี่ยวเงินทุนจากผู้ใช้และฝ่ายโครงการ การโจมตียังเน้นย้ำถึงความสำคัญของการตรวจสอบพารามิเตอร์และยอดคงเหลือของสัญญาที่จัดการเงินของผู้ใช้ นอกจากนี้ ผู้ใช้ควรระมัดระวังเมื่อให้สิทธิ์โทเค็นกับสัญญาของบุคคลที่สามและตรวจสอบซอร์สโค้ดและรายงานการตรวจสอบของสัญญาก่อนที่จะใช้ ในฐานะบริษัทรักษาความปลอดภัย Web3 ชั้นนำ MetaTrust Labs ค้นพบการโจมตีครั้งแรกเมื่อวันที่ 1 กรกฎาคม และส่งการแจ้งเตือนไปยัง Biswap บน Twitter Biswap ยังใช้กลยุทธ์การเผชิญปัญหาสองแบบที่เสนอโดย MetaTrust Labs:

  • กำหนดให้ผู้ใช้ยกเลิกการอนุญาตสัญญา V3Migrator โดยเร็วที่สุด เพื่อให้ผู้โจมตีไม่สามารถเข้าถึงโทเค็น LP ของตนได้อีกต่อไป
  • ลบทวีตของพวกเขาเองที่ส่งเสริมการย้าย V3 และแจ้งให้ผู้ใช้ทราบถึงประโยชน์ของการย้ายโทเค็น LP

หากการโจมตีนี้ไม่หยุดลงทันเวลา สัญญาการย้ายข้อมูลทั้งหมดของ Biswap จะเสียหายหลายหมื่นดอลลาร์ เนื่องจากผู้โจมตีสามารถใช้โทเค็นปลอมเพื่อย้ายสภาพคล่องทั้งหมดจาก Biswap V2 ไปยัง Biswap V3 ซึ่งเป็นอันตรายต่อ Biswap และผู้ใช้ มันจะเป็นการทำลายล้างและความพ่ายแพ้อย่างร้ายแรงสำหรับการพัฒนา DEX บน BSC

ตามเรามา

ตามเรามา

ทวิตเตอร์: @ MetaTrustLabs

เว็บไซต์: metatrust.io

สัญญาอัจฉริยะ
ความคิดเห็น

ความคิดเห็นทั้งหมด

Recommended for you

  • ประธานคณะกรรมการด้านการธนาคารของวุฒิสภาสหรัฐฯ: ร่างข้อกำหนดใหม่เกี่ยวกับผลตอบแทนของ Stablecoin อาจจะถูกเปิดเผยเร็วที่สุดในสัปดาห์นี้

    เว็บไซต์ Cointime รายงานว่า วุฒิสมาชิก ทิม สก็อตต์ ประธานคณะกรรมการการธนาคารของวุฒิสภา กล่าวในการประชุมสุดยอดบล็อกเชนที่กรุงวอชิงตัน ดี.ซี. ว่า สมาชิกสภานิติบัญญัติอาจได้เห็นร่างกฎหมายฉบับใหม่ที่มีข้อกำหนดเกี่ยวกับเหรียญ Stablecoin อย่างน้อยที่สุดภายในสัปดาห์นี้ สก็อตต์กล่าวว่า ผลตอบแทนของ Stablecoin เป็นประเด็นที่มีการพูดคุยกันมากที่สุดในร่างกฎหมาย แต่สมาชิกสภานิติบัญญัติยังคงทำงานในส่วนนี้อย่างต่อเนื่อง เขากล่าวว่า “ผมเชื่อว่าผมจะมีข้อเสนอแรกสำหรับการพิจารณาในสัปดาห์นี้ หากเกิดขึ้นภายในสิ้นสัปดาห์ และผมคิดว่ามันจะเกิดขึ้น เราก็จะรู้ว่ากรอบการทำงานกำลังเป็นรูปเป็นร่างหรือไม่ ถ้าเป็นเช่นนั้น ผมคิดว่าเราจะอยู่ในสถานะที่ดีขึ้น” เขายังกล่าวถึงความคืบหน้าว่าเป็นผลมาจากความพยายามของวุฒิสมาชิกพรรคเดโมแครต แองเจลา อัลโซบรูคส์ วุฒิสมาชิกพรรครีพับลิกัน ทอม ทิลลิส และเจ้าหน้าที่ทำเนียบขาว แพทริค วิทท์ ในประเด็นผลตอบแทนของ Stablecoin เขากล่าวว่าประเด็นที่ยังค้างคาอยู่หลายประเด็นก็ได้รับการหารือในการเจรจาตลอดเดือนที่ผ่านมา รวมถึงข้อกังวลของสมาชิกสภาผู้แทนราษฎรเกี่ยวกับประธานาธิบดีโดนัลด์ ทรัมป์และโครงการคริปโตของครอบครัว การขาดการเป็นตัวแทนจากทั้งสองพรรคในหน่วยงานกำกับดูแลที่สำคัญ และกฎระเบียบการตรวจสอบตัวตนลูกค้า (KYC) สก็อตต์ยังกล่าวอีกว่า “ผมคิดว่าเราใกล้จะบรรลุข้อตกลงเกี่ยวกับประเด็นด้านจริยธรรมและองค์ประชุมแล้ว เรารู้ว่านี่เป็นประเด็นสำคัญสำหรับอีกฝ่าย ดังนั้นเราจึงกำลังหารือเรื่องนี้อยู่เช่นกัน ผมคิดว่าเรากำลังมีความคืบหน้าในเรื่องการเสนอชื่อบุคคล ซึ่งเป็นข่าวดี สำหรับ DeFi นั้น เป็นพื้นที่ที่วุฒิสมาชิกมาร์ค วอร์เนอร์ให้ความสำคัญ และการป้องกันการฟอกเงิน (AML) เป็นส่วนสำคัญมาก ดังนั้นผมคิดว่าเรากำลังก้าวหน้าในประเด็นเหล่านี้”

  • สรุปข่าวเช้าวันสำคัญ | เหตุการณ์สำคัญในช่วงข้ามคืนวันที่ 18 มีนาคม

    21:00-7:00 คำสำคัญ: Phantom, Stripe, Autonomous, อิหร่าน 1. อิหร่านอ้างว่าสามารถโจมตีประเทศที่อนุญาตให้สหรัฐฯ และอิสราเอลใช้ดินแดนของตนได้อย่างถูกกฎหมาย 2. คณะกรรมการกำกับสินค้าโภคภัณฑ์ล่วงหน้าของสหรัฐฯ (US CFTC): กระเป๋าเงิน Phantom ไม่จำเป็นต้องลงทะเบียนเป็นโบรกเกอร์ 3. อัยการสูงสุดของรัฐแอริโซนาฟ้องร้องดำเนินคดีอาญาต่อ Kalshi นักการตลาดด้านการทำนายราคา 4. กระทรวงการต่างประเทศสหรัฐฯ สั่งให้สถานทูตทั่วโลกดำเนินการประเมินความปลอดภัย "ทันที" 5. Robinhood Venture Capital ลงทุนประมาณ 35 ล้านดอลลาร์ใน Stripe และ ElevenLabs 6. GSR ลงทุน 57 ล้านดอลลาร์เพื่อซื้อ Autonomous และ Architech เพื่อสร้างแพลตฟอร์มการจัดการกองทุนคริปโต 7. คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ของสหรัฐฯ (US SEC และ CFTC) ออกแนวทางใหม่เกี่ยวกับสกุลเงินดิจิทัล โดยระบุว่าสินทรัพย์ดิจิทัลส่วนใหญ่ไม่ใช่หลักทรัพย์

  • สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ของสหรัฐฯ (SEC) และคณะกรรมการกำกับสินค้าโภคภัณฑ์ล่วงหน้าของสหรัฐฯ (CFTC) ได้ออกความเห็นใหม่เกี่ยวกับสกุลเงินดิจิทัล โดยระบุว่าสินทรัพย์ดิจิทัลส่วนใหญ่ไม่จัดอยู่ในประเภทหลักทรัพย์

    Cointime รายงานเมื่อวันที่ 18 มีนาคมว่า คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ของสหรัฐฯ (SEC) และคณะกรรมการกำกับสินค้าโภคภัณฑ์ล่วงหน้า (CFTC) ได้เผยแพร่เอกสารคำแนะนำความยาว 68 หน้าเกี่ยวกับสกุลเงินดิจิทัล โดยระบุว่าสินทรัพย์ดิจิทัลส่วนใหญ่ไม่ใช่หลักทรัพย์ คำอธิบายใหม่นี้ให้รายละเอียดเกี่ยวกับการจัดประเภทของ Stablecoin สินค้าโภคภัณฑ์ดิจิทัล และโทเค็น "เครื่องมือดิจิทัล" ซึ่งหน่วยงานระบุว่าทั้งหมดนี้ไม่ใช่หลักทรัพย์ นอกจากนี้ยังพยายามอธิบายว่า "สินทรัพย์ดิจิทัลที่ไม่ใช่หลักทรัพย์" สามารถกลายเป็นหลักทรัพย์ได้อย่างไร และชี้แจงว่ากฎหมายหลักทรัพย์ของรัฐบาลกลางมีผลบังคับใช้กับการขุด การวางเดิมพันโปรโตคอล และการแจกเหรียญฟรีอย่างไร นอกจากนี้ SEC ยังอธิบายว่าสินทรัพย์ดิจิทัลที่ไม่ใช่หลักทรัพย์สามารถกลายเป็นหัวข้อของสัญญาการลงทุนได้อย่างไร หน่วยงานระบุในคำอธิบายว่า: "สินทรัพย์ดิจิทัลที่ไม่ใช่หลักทรัพย์จะกลายเป็นหัวข้อของสัญญาการลงทุนเมื่อผู้ออกชักจูงให้นักลงทุนลงทุนในกิจการร่วมกัน และให้คำมั่นหรือรับรองว่าจะดำเนินการจัดการที่จำเป็น และผู้ซื้อมีเหตุผลที่จะคาดหวังผลกำไรจากมัน"

  • Mastercard วางแผนที่จะเข้าซื้อกิจการบริษัทผลิตเหรียญ Stablecoin อย่าง BVNK ด้วยมูลค่าสูงถึง 1.8 พันล้านดอลลาร์สหรัฐ

    Cointime รายงานว่า Mastercard กำลังวางแผนที่จะเข้าซื้อกิจการ BVNK สตาร์ทอัพด้านโครงสร้างพื้นฐาน Stablecoin ด้วยมูลค่าสูงถึง 1.8 พันล้านดอลลาร์สหรัฐฯ ซึ่งรวมถึงค่าตอบแทนเพิ่มเติมอีก 300 ล้านดอลลาร์สหรัฐฯ การเข้าซื้อกิจการครั้งนี้เกิดขึ้นเพียงสี่เดือนหลังจากที่การเจรจาควบรวมกิจการมูลค่าประมาณ 2 พันล้านดอลลาร์สหรัฐฯ ระหว่าง BVNK กับ Coinbase ล้มเหลว ทั้งสองบริษัทได้ยืนยันข้อตกลงดังกล่าวในแถลงการณ์ร่วมที่เผยแพร่เมื่อวันอังคาร

  • ราคา Bitcoin ทะลุ 75,000 ดอลลาร์

    ข้อมูลตลาดแสดงให้เห็นว่า BTC ทะลุระดับ 75,000 ดอลลาร์แล้ว และปัจจุบันซื้อขายอยู่ที่ 75,033.01 ดอลลาร์ เพิ่มขึ้น 2.83% ในช่วง 24 ชั่วโมงที่ผ่านมา ตลาดมีความผันผวนสูง ดังนั้นโปรดบริหารความเสี่ยงของคุณให้เหมาะสม

  • ราคา Bitcoin ทะลุ 71,500 ดอลลาร์

    ข้อมูลตลาดแสดงให้เห็นว่า BTC ทะลุระดับ 71,500 ดอลลาร์ และปัจจุบันซื้อขายอยู่ที่ 71,510.19 ดอลลาร์ โดยเพิ่มขึ้น 1.06% ในช่วง 24 ชั่วโมงที่ผ่านมา ตลาดมีความผันผวนสูง ดังนั้นโปรดบริหารความเสี่ยงของคุณให้เหมาะสม

  • ETH ทะลุ 2100 ดอลลาร์

    ข้อมูลตลาดแสดงให้เห็นว่า ETH ทะลุ 2,100 ดอลลาร์แล้ว และปัจจุบันซื้อขายอยู่ที่ 2,100.58 ดอลลาร์ เพิ่มขึ้น 0.44% ในช่วง 24 ชั่วโมงที่ผ่านมา ตลาดมีความผันผวนสูง โปรดบริหารความเสี่ยงของคุณให้เหมาะสม

  • เมื่อวานนี้ กองทุน ETF Ethereum ในตลาดสปอตของสหรัฐฯ มียอดเงินไหลเข้าสุทธิ 26.7 ล้านดอลลาร์สหรัฐ

    เมื่อวันที่ 14 มีนาคม ข้อมูลที่รวบรวมโดย Farside Investors ระบุว่า กองทุน ETF Ethereum ในตลาดสปอตของสหรัฐฯ มียอดเงินไหลเข้าสุทธิ 26.7 ล้านดอลลาร์สหรัฐ

  • กระทรวงยุติธรรมสหรัฐฯ จะยื่นอุทธรณ์คำตัดสินในคดีพาวเวลล์ ซึ่งอาจทำให้การแต่งตั้งวอร์ชล่าช้าออกไป

    เมื่อวันที่ 14 มีนาคม หลังจากที่ผู้พิพากษาได้ยกเลิกหมายเรียกที่ส่งไปยังธนาคารกลางสหรัฐ (เฟด) อัยการสหรัฐฯ โรเบิร์ต พิโร ได้ให้คำมั่นว่าจะดำเนินการสอบสวนประธานเฟด เจโรม พาวเวลล์ ต่อไป ซึ่งอาจทำให้การแต่งตั้งผู้สืบทอดตำแหน่ง เควิน วอร์ช ซึ่งจะหมดวาระในเดือนพฤษภาคม ล่าช้าออกไป ผู้พิพากษาศาลแขวงสหรัฐ เจมส์ บอสเบิร์ก กล่าวว่า รัฐบาลล้มเหลวในการให้หลักฐานใดๆ เพื่อพิสูจน์ความชอบธรรมของหมายเรียกที่เกี่ยวข้องกับการปรับปรุงสำนักงานใหญ่ของเฟด และความคิดเห็นของพาวเวลล์เกี่ยวกับโครงการดังกล่าว พิโรกล่าวว่า "กระบวนการนี้ถูกขัดขวางโดยพลการโดยผู้พิพากษาหัวรุนแรง กระบวนการควรจะดำเนินไปอย่างราบรื่น แต่พวกเขากลับไม่เป็นเช่นนั้น พวกเขาน่าละอาย" วุฒิสมาชิก ทิลลิส สมาชิกคณะกรรมการการธนาคารของวุฒิสภา เตือนว่าเขาจะขัดขวางการเสนอชื่อประธานเฟดใดๆ ตราบใดที่การสอบสวนของกระทรวงยุติธรรมเกี่ยวกับพาวเวลล์ยังคงดำเนินต่อไป "คำตัดสินนี้ยืนยันว่าการสอบสวนทางอาญาต่อประธานพาวเวลล์นั้นอ่อนแอและไร้มูลความจริงเพียงใด มันเป็นเพียงการโจมตีความเป็นอิสระของเฟดที่ล้มเหลว" ทิลลิสกล่าว "การอุทธรณ์จะยิ่งทำให้การยืนยันตำแหน่งของเควิน วอร์ชในฐานะประธานเฟดคนต่อไปล่าช้าออกไปเท่านั้น"

  • ราคา BTC ร่วงลงต่ำกว่า 72,000 ดอลลาร์

    ข้อมูลตลาดแสดงให้เห็นว่า BTC ร่วงลงต่ำกว่า 72,000 ดอลลาร์ และปัจจุบันซื้อขายอยู่ที่ 71,996.46 ดอลลาร์ การเพิ่มขึ้นในรอบ 24 ชั่วโมงลดลงเหลือ 2.32% ความผันผวนของตลาดสูง โปรดบริหารความเสี่ยงของคุณให้เหมาะสม

ต้องอ่านทุกวัน

กิจกรรมยอดนิยม

RaveDAO at Terra Solis by Tomorrowland: A Female-Led Techno Night Where Web3 Culture Converges

RaveDAO at Terra Solis by Tomorrowland: A Female-Led Techno Night Where Web3 Culture Converges

April 30 - April 30
Dubai
Cointime
เนื้อหา
บริษัท