一、前言
北京时间3月20日晚，知道创宇区块链安全实验室监测到以太坊上分布式跨链协议Li.Finance受到了攻击，攻击者执行了37次call注入获取了多个钱包中约60万美元的资产。此次资产损失并没有非常大，但项目方对于攻击的处理非常积极并值得学习与肯定(见后文)，目前项目方已补偿了协议损失并修复后重新部署了协议。知道创宇区块链安全实验室第一时间跟踪本次事件并分析。
二、分析
1.攻击者相关信息
攻击tx：0x4b4143cbe7f5475029cf23d6dcbb56856366d91794426f2e33819b9b1aac4e96
STEPN：游戏公会为游戏增添了社交维度，但也存在潜在危险:5月13日消息，Move to Earn应用STEPN发文讨论游戏工会，称游戏公会为游戏增添了社交维度，但也存在潜在危险。STEPN表示，STEPN模型已内置到应用程序中，希望有效地切断中间商，让每个玩家都受益。这意味着团体控制NFT价格的权力被严重稀释。在培育强大的社区的同时，还必须保持组织内部的权力平衡。公会有权（即使他们不打算这样做）操纵市场并控制游戏的玩家群。[2022/5/13 3:14:43]
被攻击合约：
0x5A9Fd7c39a6C488E715437D7b1f3C823d5596eD1--代理合约
0x73a499e043b03fc047189ab1ba72eb595ff1fc8e--逻辑合约
经济日报：BTC表现出脱离全球经济基本面的危险倾向:3月2日消息，《经济日报》针对比特币发表评论文章称，新冠肺炎疫情严重破坏全球增长基础，加之金融监管缺位和全球治理失灵，波动性、投机性、风险性“三高”的比特币，表现出脱离全球经济基本面的危险倾向。文章称，盲目追捧比特币？别犯傻了！就连马斯克这个忠实的比特币粉丝最近都呼吁投资者须慎之又慎。毕竟，一句老话说得好，“当潮水退去，才知道谁在裸泳”。[2021/3/2 18:06:06]
攻击者地址:
0xC6f2bDE06967E04caAf4bF4E43717c3342680d76--部署地址0x878099F08131a18Fab6bB0b4Cfc6B6DAe54b177E--收款地址
2.攻击流程
攻击调用流程攻击者构造payload并调用被攻击合约0x5a9fd7c3的swapAndStartBridgeTokensViaCBridge函数
北京市将利用区块链等技术对危险化学品进行管理和监控:7月13日，北京市政府召开新闻发布会，对《北京市安全生产专项整治三年行动计划》进行介绍。据悉，该计划包括了危险化学品安全整治、非煤矿山安全整治、消防安全整治、交通运输安全整治、城市建设安全整治等9个专项整治实施方案。在危险化学品安全整治方面，市应急局相关负责人表示，将综合利用区块链、大数据、人工智能、电子标签等技术，对危险化学品生产、贮存、运输、使用、经营、废弃处置等各环节进行全生命周期信息化管理和监控。（新华网）[2020/7/14]
具体使用的Payload如下--图中选中部分即为利用授权转账部分的payload：
Bitfinex将发布Shimmer工具以监测危险交易:加密货币交易所Bitfinex将发布名为Shimmer的新工具，来识别交易所中的清洗交易（用户出于误导市场的目的买卖资产）和其他可疑市场活动。据悉，如果Shimmer发现与众不同的任何东西，它将把涉嫌操纵的细节转发给Bitfinex的监视团队。（Decrypt）[2020/3/24]
调用一次正常50刀的跨链桥功能
在payload中包括多个call方法(调实际用transferFrom)。让0x5a9fd7c3调用37个call，借此利用多个钱包对于0x5a9fd7c3合约的授权(approve)将钱包资产转账到攻击者地址：
声音 | 存款保险公司CEO：依赖加密货币是非常危险的:据cointelegraph消息，7月25日，尼日利亚存款保险公司（NDIC）发布了关于依赖加密货币的公开警告。NDIC的 CEO Umaru Ibrahim表示，依赖加密货币是非常危险的，因为它们在大多数金融司法管辖区都不受中央银行的监管和支持。[2019/7/26]
后续执行正常的跨链桥逻辑_startBridge(_cBridgeData);。这也是为什么第一个swap是正常的，这样才能让后续逻辑正常执行下去
3.漏洞细节
导致本次问题的根本原因被攻击合约0x5a9fd7c3的逻辑合约存在一个批量让call调用传入数据的函数swapAndStartBridgeTokensViaCBridge
该合约将会取出payload中的多个_swapData数据结构并调用，LibSwap.swap(...);实现如下：
借此，攻击者利用该合约的call将各个钱包对0x5a9fd7c3合约的代码授权转走了多个钱包中的各种代币。
4.项目方进展
在事件发生后，项目方第一时间对合约可能的方法进行了停用，并为其审计和安全性问题进行致歉。
而后，项目方还联系了黑客，希望能与其取得联系并和平解决：
同时，最快的时间将漏洞合约修复后上线：
并将钱包对于之前被攻击合约的授权取消，对新的合约进行了重新授权：
最后，将用户资产进行补回：
同时我们关注到，其在polygon链上的合约也已实现了新的部署：
三、总结
此次攻击的根本原因是项目方对于swapAndStartBridgeTokensViaCBridge合约的实现过度自由化所导致的call调用注入，但项目方积极的面对问题的态度和后续补救的及时性值得学习和肯定。不贵于无过，而贵与改过。但我们仍希望能将错误扼杀在发生之前，应从他人的错误中学习并避免自己未来的错误，正如Li.Finance所说的那样：
我们的使命是最大化用户体验，现在我们痛苦地了解到，为了遵循这种精神，我们的安全措施必须大幅改进。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。