2022 年 03 月 16 日，据慢雾区消息，Hundred Finance 存在严重漏洞遭到攻击，黑客获利约 2,363 ETH，慢雾安全团队第一时间介入分析，并将结果分享如下：
相关信息
Hundred Finance 是一个去中心化应用程序（DApp），它支持加密货币的借贷。它是一种多链协议，与 Chainlink 预言机集成，以确保市场健康和稳定，同时专门为长尾资产提供市场。
以下是本次攻击涉及的相关地址：
攻击者地址：
https://blockscout.com/xdai/mainnet/address/0xD041Ad9aaE5Cf96b21c3ffcB303a0Cb80779E358
攻击交易：https://blockscout.com/xdai/mainnet/tx/0x534b84f657883ddc1b66a314e8b392feb35024afdec61dfe8e7c510cfac1a098
纽约梅隆银行的加密货币托管业务违反了SEC规则:金色财经报道，纽约梅隆银行（BNY Mellon）进军数字资产托管业务遇到了监管障碍。美国证券交易委员会(SEC)第121号员工会计公告(SAB121)要求数字资产托管人将这些资产记录在其资产负债表上。这一监管要求对寻求扩大数字资产托管业务的银行，尤其是纽约梅隆银行等专门从事信托服务的银行来说，构成了潜在的障碍。纽约梅隆银行于2022年10月开始开展数字资产托管业务。然而，直到该银行在建立加密托管业务方面取得重大进展后，才发现SAB121监管障碍。[2023/7/1 22:11:18]
攻击者合约：
https://blockscout.com/xdai/mainnet/address/0xdbf225e3d626ec31f502d435b0f72d82b08e1bdd
https://blockscout.com/xdai/mainnet/address/0xbE8fe2aE087aeCcB1E46EF206368421c9212637B
比特币矿企Marathon本季度收入达到5110万美元:金色财经报道，比特币矿企Marathon Digital公布2023年第一季度财务业绩，本季度收入为5110万美元，略低于上年同期的收入5170万美元，前三个月生产2,195个比特币，同比去年增长74%。财务方面账面现金增加1200万美元，债务减少5000万美元。[2023/5/11 14:56:42]
https://blockscout.com/xdai/mainnet/address/0x09b4f2551e9f39fa021a99463e21d6044656a7b9
https://blockscout.com/xdai/mainnet/address/0xf07ac43678b408ff0c86efff99b8d21af3d38c51
https://blockscout.com/xdai/mainnet/address/0x9c4e6edbc45b16e4378b53cd3e261727e103f633
SBF被控在加密行业内向中国官员行贿4000万美元:金色财经报道，Watcher.Guru发推特称，FTX创始人Sam Bankman-Fried被控在加密行业内中国官员行贿4000万美元。据美国检察官Damian Williams提交的法庭文件显示，美国当局对FTX创始人SBF的指控在原本12项的基础上增加了一项，称其涉嫌向一名或多名中国官员行贿。
法庭文件称，SBF和其他相关方向一名或多名中国官员转移了至少价值约4,000万美元的加密货币，目的是让他们解冻在Alameda Research的加密账户。[2023/3/29 13:31:57]
被攻击合约：
https://blockscout.com/xdai/mainnet/address/0x243E33aa7f6787154a8E59d3C27a66db3F8818ee husdc
https://blockscout.com/xdai/mainnet/address/0xe4e43864ea18d5e5211352a4b810383460ab7fcc hwbtc
美联储哈克：将维持加息一段时间:金色财经报道，美联储哈克表示，将维持加息“一段时间”；需要看到通胀持续下降，才能改变政策前景；未来美联储的利率行动将取决于经济数据；到今年年底，联邦基金利率可能远高于4%；今年GDP可能持平，明年增长1.5%。[2022/10/21 16:33:03]
https://blockscout.com/xdai/mainnet/address/0x8e15a22853a0a60a0fbb0d875055a8e66cff0235 heth
https://blockscout.com/xdai/mainnet/address/0x090a00a2de0ea83def700b5e216f87a5d4f394fe hxdai
攻击核心点
在 Hundred Finance 借贷协议的 borrowFresh 函数中，记账是在代币转账之后，但市场中 USDC、wBTC、wETH 使用的是 ERC677 类型 token 合约，它是 ERC20 合约的一个扩展，兼容 ERC20 协议标准。ERC677 在 token 进行转账之后，会回调到目标合约的 onTokenTransfer 方法，这就使攻击者构造的恶意合约能进行重入攻击。
BendDAO清算拍卖首批BAYC #842与BAYC #7860已被售出:8月22日消息，近日BAYC地板价跌破70ETH，BendDAO开始首次通过拍卖机制进行清算BAYC，并非向市场抛售NFT，降低了引发连环清算的风险。
据悉，此次BendDAO链上拍卖信息自发布之后便受到行业众多竞买者的关注，目前首批BendDAO中已有2枚 BAYC 触发清算已被清算，均为此前备受市场关注的 BAYC #842、BAYC #7860，分别以 82.64 ETH、68.69 ETH 的购入价被同一竞买者收入囊中。截止目前，最终竞买者仍未发声。[2022/8/22 12:41:40]
具体细节分析
1. 通过 SushiSwap 闪电贷借出 2,096,607.298 USDC、1,723,293.26 wXDAI、1,650,170.47 wXDAI。
2. 攻击者通过攻击合约向 USDC 借贷合约抵押 1,200,000 枚 USDC，换取 59,999,789.075 枚 hUSDC。
随后通过借贷合约借走 1,200,000 枚 USDC，但是由于借贷合约记账是在转账之后，因此攻击者能在转账的时候同时开始他的攻击。
因为 XDai 链上的 USDC、WBTC、WETH 是有转账后回调步骤，攻击者在转完 USDC 之后再次重入到 WBTC 的借贷合约。同时因为上一步借走 USDC 的数据还未记录，所以攻击者又顺利的借走 16.17030715 枚 WBTC， 此后再次重入到 WETH 的借贷合约，借走 24.715930916595319168 枚 WETH。
3. 接着，攻击者继续往 USDC 借贷合约转入 1,964,607 枚 USDC，拿到 98,230,019.558 枚 hUSDC，然后从池子里面借出 1,748,500.495 枚 USDC，再重入到 xDai 的借贷合约；
随后，攻击者转入大量的 xDai 换出 234,304,737.048 枚 hxDAI，再借出大量的 xDai，再从 USDC 借贷合约借出 4,128,044.631 枚 USDC 之后，攻击者再一次往 USDC 借贷合约转入 1,358,759.278 枚 USDC，又获得 67,937,725.081枚 hUSDC，接着，继续从 USDC 的借贷合约借出 1,209,295.758 枚 USDC。
4. 最后攻击者归还从 SushiSwap 借出来的 xDai 和 USDC，剩余的非法获利转到攻击者账户上。
MistTrack
据慢雾 AML 分析，黑客地址将资金从?XDai 跨链到以太坊后，将代币均兑换为 ETH，且在以太坊上的黑客地址初始资金来源于 Tornado.Cash。
最后将获利的 2,363 ETH 分成 32 次转入 Tornado.Cash，以躲避追踪。
总结
本次攻击事件是由于在借贷合约中的 borrowFresh 函数没有在代币转账前进行记账并且使用的 token 是有回调机制造成的，进而导致攻击者可以在转账之后重入到其他借贷合约。慢雾安全团队建议使用非 ERC20 标准的 token 合约时，要注意兼容性，合约记账应在代币转账之前做好记录，遵循 Checks-Effects-Interactions 规则，避免再次出现此类安全问题。
By：Victory@慢雾安全团队
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。