前言
北京时间2022年2月5日晚，Meter.io 跨链协议遭到攻击，损失约 430 万美元。知道创宇区块链安全实验室 第一时间跟踪本次事件并分析。
分析
基础信息
tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
Blin Metaverse与BakerySwap达成战略合作:据官方消息，Blin Metaverse与BakerySwap达成战略合作，并将联合于UTC时间2021年9月1日12：00（北京时间20：00）在BakerySwap官网展开敦煌禅画派创始人杨东升老师敦煌作品NFT售卖。这两幅NFT作品为《智慧吉祥天女》、《持莲天女菩萨》，分别限量发行999枚，售价为1USDT。据悉，Blin Metaverse将于本次敦煌NFT活动结束后开放单币质押活动，用户可在官网通过质押BNB、USDT、CAKE、BAKE、AXS、CHR、ALICE、DOGE、DEGO、SKILL、PMON等资产获得NFT盲盒空投。
Blin Metaverse是基于币安智能链BSC的元宇宙+NFTFi 基础设施。旨在通过 IP 重塑、虚拟社交、链上 NFT 资产铸造、确权、价值流通等方式实现多元化虚拟现实交互的综合性去中心化NFT基础设施，此前曾宣布与维多利亚与艾尔伯特博物馆联合进军NFTFi领域。[2021/9/1 22:51:49]
攻击者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
以太坊二层协议Metis宣布完成400万美元融资:以太坊二层协议Metis宣布完成400万美元的新一轮融资。该轮融资由Master Ventures、Oasis Capital、AU21、BMW Capital、Consensus Lab、Genblock Capital、M6等公司牵头。目前，该公司在IDO之前的资金总额已达500万美元。（Bitcoinschannel）[2021/5/10 21:45:31]
Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001
动态 | 谷歌应用商店暂停MetaMask安卓客户端:金色财经报道，谷歌已在其应用商店暂停了MetaMask的安卓客户端。 MetaMask通过其推特帐户表示，其安卓客户端“在上周”被暂停使用，原因是谷歌的应用商店禁止移动挖矿应用。 但是，作为以太坊应用程序浏览器的MetaMask不提供挖掘活动。MetaMask曾提出上诉，但被谷歌驳回。[2019/12/27]
ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51
漏洞原理
漏洞关键在于跨链桥合约的deposit函数中，deposit函数会根据resourceID取相应的depositHandler，并调用deposit函数进行实际的质押逻辑。
而在depositHandler的deposit函数中，存在逻辑缺陷，当tokenAddress不为_wtokenAddress地址时进行 ERC20 代币的销毁或锁定，若为_wtokenAddress则直接跳过该部分处理。
该存在缺陷的逻辑判断可能基于在跨链桥合约中的depositETH函数会将链平台币转为wToken后转至depositHandler地址，所以在depositHandler执行deposit逻辑时，已处理过代币转移，故跳过代币处理逻辑。
但跨链桥合约的deposit函数中并没有处理代币转移及校验，在转由deposiHandler执行deposit时，若data数据构造成满足tokenAddress == _wtokenAddress即可绕过处理，实现空手套白狼。
总结
本次攻击事件核心原因在于 Meter.io 跨链桥 depositHandler质押处理器中，存在逻辑判断缺陷，满足了跨链桥合约depositETH的逻辑场景，但忽视了deposit逻辑场景存在绕过缺陷。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。