黑客如何在三分钟利用3000美元套取1亿人民币?Ankr相关安全事件分析_BNB:LEOS

2022年12月2日,据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示,AnkStaking的aBNBc Token项目遭受私钥泄露攻击,攻击者通过Deployer地址将合约实现修改为有漏洞的合约,攻击者通过没有权限校验的0x3b3a5522函数铸造了大量aBNBc代币后卖出,攻击者共获利5500个BNB和534万枚USDC,约700万美元,Beosin Trace将持续对被盗资金进行监控。Beosin安全团队现将事件分析结果与大家分享如下。

据了解,Ankr 是一个去中心化的 Web3 基础设施提供商,可帮助开发人员、去中心化应用程序和利益相关者轻松地与一系列区块链进行交互。

黑客通过Poly Network在数条链上增发十多种资产:7月2日消息,跨链互操作协议 Poly Network 疑似再度被黑客攻击,据吴说统计,黑客通过 Poly Network在数条链上增发资产,影响资产多达数十种。

在 Metis 上增发了 99,999,184 BNB 和 100 亿 BUSD;

在 Heco 上增发了 999.8127T SHIB、87,579,118 COW 和 999,998,434 OOE;

在 Polygon 上增发了 636,643,868 STACK、88,640,563 GM 和 2,175,053 03;

在 Ethereum 上增发了 378,028371 STACK、82,854,568 XTM和11,026,341 SPAY;

在 Avalanche 上增发了 89,383,712 GM;

在 BSC 上增发了 8,882,911 METIS、926,160,132 DOV、978,102,855 SLD 等资产。

目前该名黑客已通过部分增发资产出售获利。需要注意的是,Poly Network 流动性不足,不少巨额资产如BNB 与 BUSD 应无法跨链流出。2021年 PolyNetwork遭黑客盗币超过 6 亿美金,成为 DeFi 历史上最大的盗币案,随后在与黑客沟通后返还资产。[2023/7/2 22:13:03]

攻击发生之后,Ankr 针对 aBNBc 合约遭到攻击一事称,「目前正在与交易所合作以立即停止交易。Ankr Staking 上的所有底层资产都是安全的,所有基础设施服务不受影响。」

动态 | 竞猜类游戏BitDice遭黑客假EOS攻击:今天早晨06:40-06:50之间,PeckShield安全盾风控平台DAppShield监测到黑客向竞猜类游戏BitDice发起连续攻击,获利四千多EOS,并已转至EXMO、ChangeNOW等多家交易所。PeckShield安全人员追踪链上数据分析发现,黑客采用的是“假EOS”攻击手段。PeckShield安全人员在此提醒,开发者应在合约上线前做好安全测试,特别是要排除已知攻击手段的威胁,必要时可寻求第三方安全公司协助,帮助其完成合约上线前攻击测试及基础安全防御部署。[2019/10/12]

攻击交易

声音 | 赵长鹏:我不明白为什么黑客总向币安发送盗币:针对推特用户反馈有黑客在向币安发送盗币,赵长鹏发推特称,刚刚检查了下,我们已经冻结一部分资金。我不明白黑客为什么总是向币安发送盗币。社交媒体很快就会报道出来,这对他们来说是一个高风险的做法。[2019/1/16]

0xe367d05e7ff37eb6d0b7d763495f218740c979348d7a3b6d8e72d3b947c86e33

攻击者地址

0xf3a465C9fA6663fF50794C698F600Faa4b05c777 (Ankr Exploiter)

被攻击合约

0xE85aFCcDaFBE7F2B096f268e31ccE3da8dA2990A

声音 | PeckShield: 今晚两款EOS竞猜游戏遭同一黑客交易延迟攻击:今天晚间21:52-22:36之间,PeckShield安全盾风控平台DAppShield监测到两款EOS竞猜类游戏(Fishing和STACK DICE)同时遭到黑客连续攻击,损失已经超过数百个EOS,目前两款游戏均已暂停运营。PeckShield安全人员链上追踪发现,两款游戏的攻击者为同一黑客,采取的是交易延迟攻击(deferBomb),和此前LuckBet等游戏受攻击方式一样,同样是利用超级节点nodeos低版本存在的漏洞。PeckShield安全人员呼吁超级节点尽快升级到最新稳定版,同时希望广大开发者应及时做好安全布控及攻击测试,排查潜在被攻击的风险。[2019/1/14]

1. 在aBNBc的最新一次升级后,项目方的私钥遭受泄露。攻击者使用项目方地址(Ankr: Deployer)将合约实现修改为有漏洞的版本。

动态 | EOS 黑客马拉松旧金山站冠军项目激励开发者:据 IMEOS 报道,Block.one 发文介绍 EOS 黑客马拉松旧金山站冠军 NouGit?团队,在旧金山站中,NouGit 击败了其他 74 个团队的激烈竞争,最终获得 100,000 美元的最高奖金。他们的项目是一个 Git 存储库 - 本质上是一个跟踪和协调文件和软件中源代码更改的系统 - 去中心化和激励。在 NouGit 生态系统中,为特定代码行提供奖励。举办方表示 NouGit 的赏金计划符合项目经理和贡献开发人员的利益,因此获得最高奖项。他们将参加下个月在南非开普敦举行的黑客马拉松决赛。[2018/11/22]

2.由攻击者更换的新合约实现中, 0x3b3a5522函数的调用没有权限限制,任何人都可以调用此函数铸造代币给指定地址。

3.攻击者给自己铸造大量aBNBc代币,前往指定交易对中将其兑换为BNB和USDC。

4. 攻击者共获利5500WBNB和534万USDC(约700万美元)。

由于Ankr的aBNBc代币和其他项目有交互,导致其他项目遭受攻击,下面是已知项目遭受攻击的分析。

Wombat项目:

由于Ankr Staking: aBNBc Token项目遭受私钥泄露攻击,导致增发了大量的aBNBc代币,从而影响了pair(0x272c...880)中的WBNB和aBNBc的价格,而Wombat项目池子中的WBNB和aBNBc兑换率约为1:1,导致套利者可以通过在pair(0x272c...880)中低价购买aBNBc,然后到Wombat项目的WBNB/aBNBc池子中换出WBNB,实现套利。目前套利地址(0x20a0...876f)共获利约200万美元,Beosin Trace将持续对被盗资金进行监控。

Helio_Money项目:

套利地址:

0x8d11f5b4d351396ce41813dce5a32962aa48e217

由于Ankr Staking: aBNBc Token项目遭受私钥泄露攻击,导致增发了大量的aBNBc代币,aBNBc和WBNB的交易对中,WBNB被掏空,WBNB价格升高。套利者首先使用10WBNB交换出超发后的大量aBNBc.之后将aBNBc交换为hBNB。以hBNB为抵押品在Helio_Money中进行借贷,借贷出约1644万HAY。之后将HAY交换为约1550万BUSD,价值接近1亿人民币。

针对本次事件,Beosin安全团队建议:1. 项目的管理员权限最好交由多签钱包进行管理。2. 项目方操作时,务必妥善保管私钥。3. 项目上线前,建议选择专业的安全审计公司进行全面的安全审计,规避安全风险。

Beosin

企业专栏

阅读更多

金色早8点

金色财经

去中心化金融社区

CertiK中文社区

虎嗅科技

区块律动BlockBeats

念青

深潮TechFlow

Odaily星球日报

腾讯研究院

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

水星链

[0:15ms0-1:55ms