?Multichain(AnySwap)此前一个影响6个跨链Token的关键漏洞被利用，导致被盗取445ETH。慢雾安全团队分析了安全事件经过，
1.用户可以通过Multichain的AnyswapV4Router合约进行资金跨链操作，在进行资金跨链时用户需要将待跨链的代币授权给AnyswapV4Router合约。??
2.AnyswapV4Router存在anySwapOutUnderlyingWithPermit函数。此函数允许用户在链下进行授权签名，链上验证并授权的操作。在此函数中，其会先通过调用用户传入的Token地址的underlying函数来获取underlying代币地址(正常情况下用户传入的Token地址应该是anyToken，获取underlying代币应该是用户要跨链的资产，如anyUSDT与USDT)，随后通过underlying代币的permit函数进行签名检查与授权操作，授权完成后通过safeTransferFrom将代币转入anyToken合约中，最后通过_anySwapOut触发事件。??
HBTC霍比特交易所与慢雾科技达成安全战略合作:今日，HBTC 霍比特交易所（原BHEX交易所）与慢雾科技达成安全战略合作，双方针对数字货币行业中的底层公链安全研究、链上数据分析、威胁情报同步、OTC 反(AML)等多个环节保持密切合作，共同维护区块链生态安全。
HBTC 霍比特交易所是技术驱动的加密资产交易平台，由火币、OKEx 等 56 家优质资本共同投资，主营币币、合约、OTC、期权、理财等业务，平台上主流币及合约交易拥有行业顶级的流动性和深度。慢雾科技是国内成立最早且国际化的区块链安全公司，主要通过安全审计与防御部署服务了全球许多头部或知名的项目。[2020/4/13]
3.但由于anySwapOutUnderlyingWithPermit函数中未检查用户传入的token的合法性，且由于WETH代币不存在permit函数的同时实现了fallback函数，而permit函数接口也恰好没有返回值，因此在对WETH合约的permit函数进行调用时是不会抛出错误的。攻击者正是利用此问题构造了恶意的Token地址，使得anySwapOutUnderlyingWithPermit函数获取的underlying为WETH，将先前有将WETH代币授权给AnyswapV4Router合约的用户的WETH直接转移到攻击者恶意构造的Token地址中。??
声音 | 慢雾余弦：区块链安全漏洞引起的财产损失未来将进一步扩大:据算力智库微信公众号文章，公开资料数据显示，2011-2019年之间，由区块链安全漏洞引起的损失高达84亿美元。其中，交易所是重灾区，占比近一半。对此，慢雾余弦表示，一方面，交易所的门槛比以往低了很多，而安全防护水平又层次不齐，对于地下黑客来说那就是满地黄金。此外，这一数据的背后体现了了人们对加密货币市场，对区块链的认同。基于这个共识，行业规模扩大，错误也随之放大。未来这一数据增幅还将继续扩大。对于中心化的交易所而言，会受到传统行业的攻击，如服务器、办公网等，也和公链、智能合约有关。每一环都有可能存在的安全问题。他建议把IT建设的预算中拿出15%-20%作为安全预算，其中包括人员的成本维护，杀软件，防火墙的购置等。但是这并不代表你配置了这些就一定不会被黑。抛开攻防博弈成本去看待这个问题是不客观的。你每投入一定的比例，那攻击门槛则相对提高了一个台阶。相对来说你被黑的概率会低很多，但我们这个行业没有人可以给出这样的一个永不被黑的承诺。[2019/10/30]
此次主要是由于anySwapOutUnderlyingWithPermit函数未检查用户传入的Token的合法性，且未考虑并非所有underlying代币都有实现permit函数，导致用户资产被未授权转出。慢雾安全团队建议：应对用户传入的参数是否符合预期进行检查，且在与其他合约进行对接时应考虑好兼容性问题。??
动态 | 慢雾预警：竞技类游戏 WinDice 遭遇回滚攻击:根据慢雾威胁情报系统捕获，今天下午 2、3 点，竞技类游戏 WinDice 遭遇回滚攻击。攻击者通过部署攻击合约 rep******net 攻击项目方合约 windiceadmin，共获利 300 多枚 EOS，目前攻击者数个关联账号已列入慢雾 BTI 系统黑名单库，慢雾安全团队提醒类似项目方全方面做好合约安全审计并加强风控策略。[2019/2/4]
参考交易:https://etherscan.io/tx/0xd07c0f40eec44f7674dddf617cbdec4758f258b531e99b18b8ee3b3b95885e7d
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。