Pada 13 Oktober 2022, menurut platform pemantauan keamanan EagleEye Web3 Beosin, pertukaran FTX berada di bawah serangan pencurian bahan bakar di mana ia dimanipulasi untuk membayar semua biaya bahan bakar untuk mencetak token XEN dalam jumlah besar untuk peretas.
Menanggapi serangan ini, Coinlive mengundang Beosin, sebuah firma keamanan Web3 yang berbasis di Singapura, untuk menganalisis proses spesifik dari eksploitasi tersebut.
A few transactions of the attacks: 0xc96b84cd834655290aa4bae7de80a3c117cc19d414f5bcf2fb85b8c5544300890x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d690x6bada8e084f8d3b62311f0b6eda10f2690e7542dab75a0de436a640036bccf94
Salah satu alamat penyerang: 0x1d371CF00038421d6e57CFc31EEff7A09d4B8760
Salah satu kontrak yang diserang: 0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3
Alamat hot wallet FTX yang diserang: 0xC098B2a3Aa256D2140208C3de6543aAEf5A94444
Kami akan fokus pada satu transaksi serangan tertentu sebagai contoh: (0x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d69)
Pada langkah pertama, penyerang menyebarkan alamat kontrak berbahaya pada rantai (0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3)
Pada langkah kedua, peretas menggunakan alamat hot wallet FTX-nya untuk mentransfer sejumlah kecil dana ke alamat kontrak berbahaya (0xCba9...7FD3) dan selanjutnya menggunakan kontrak ini untuk membuat sub-kontrak secara berkelompok.
Karena banyak kontrak dibuat di seluruh serangan, dan setiap kali sub-kontrak dieksekusi, sub-kontrak akan hancur dengan sendirinya, sehingga gambar berikut ditampilkan sebagai contoh.
Pada langkah ketiga, fungsi fallback() subkontrak akan memulai permintaan mint ke kontrak $XEN. Fungsi claimRank() melewati jangka waktu (>= 1 hari) untuk pencetakan, hanya perlu membayar biaya panggilan tanpa biaya lain yang terkait.
Fungsi claimMintRewardAndShare() adalah untuk claim, yang hanya menentukan term tercapai atau tidak (dalam hal ini diset 1 hari oleh hacker), kemudian dapat ditarik tanpa syarat ke alamat manapun. Namun, dalam proses panggilan ini, inisiator transaksi adalah alamat hot wallet FTX, jadi gas dari seluruh proses panggilan dibayar oleh alamat hot wallet FTX, dan alamat $XEN mint adalah alamat penyerang.
Ketiga langkah di atas diulang terus menerus dalam satu siklus. Setiap kali menarik token yang kedaluwarsa dan memulai permintaan pencetakan baru secara bersamaan.
Serangan ini terutama memanfaatkan fakta bahwa FTX tidak memberlakukan batasan apa pun pada alamat kontrak penerima, juga tidak memberlakukan batasan pada batas gas ETH, ini memungkinkan peretas untuk mengeksploitasi dan mencetak token $XEN untuk mendapatkan keuntungan.
Pada saat publikasi, pertukaran FTX kehilangan total 81 ETH dan peretas menukar token $XEN untuk transfer ETH melalui pertukaran terdesentralisasi seperti DODO dan Uniswap.
Bagan Gerakan dan Penelusuran Dana Beosin
Chinese national Wang Xinghong, 40, was sentenced to five years in prison for his role in a cryptocurrency scam that defrauded over 700 investors out of S$6.7 million. As CTO of A&A Blockchain Innovation, he helped maintain a fake mining app, contributing to the scheme's operation and resulting in losses of S$1.1 million.
AnaisIn just over two weeks since its launch, the NOWChain Testnet has surpassed 340,000 transactions. With its Proof of Mobile (PoM) consensus, NOWChain aims to transform blockchain security by leveraging the collective power of mobile devices.
CatherineAigisos has launched its Genesis Rolldrop, distributing 90 million AIG tokens in a two-phase event to engage both new and existing users. However, significant verification issues and a lack of solid progress raise doubts about whether Aigisos can prove its worth beyond high-profile endorsements. With such verification challenges and a history of brief CEO ventures, can Aigisos truly deliver on its promises, or is it just another flashy project destined to falter?
AnaisToncoin (TON) surged 12% on Thursday following Binance's announcement of its listing on 8 August at 6PM SGT, with withdrawals available 24 hours later. Will TON breakthrough its upper resistance or test its lower support?
KikyoIn Singapore, 65% of people now prefer AI-generated shopping recommendations, driven by a desire for a more personalized and efficient shopping experience. AI tools like LazzieChat from Lazada Group exemplify this trend, using advanced technology to enhance online shopping.
WeatherlyNesa, a Binance MVB-incubated Layer 1 blockchain that is the first to put over 1,000 AI models on-chain, has launched the Nesa Mascot Creation Contest with Stability World AI. Running until 17 August, the contest will award the winning design as Nesa’s official mascot and provide exclusive whitelist access to the top five entries.
CatherineBinance Labs has invested in Solayer, a restaking network on Solana, to boost its ecosystem. Solayer's innovative approach to staking and security has rapidly increased its Total Value Locked (TVL) and attracted significant attention in the crypto space.
WeatherlyIn a recent blog post on GPT-4o’s safety measures, OpenAI highlighted concerns about anthropomorphisation. But given its history of portraying its products in human-like terms, these concerns seem both expected and ironic.
KikyoTurkey’s new crypto regulations, effective from 2 July 2024, require all crypto service providers to apply for licenses or liquidate by 2 October 2024. Key players like Coinbase and KuCoin have not yet started the licensing process, reflecting potential challenges in adapting to the new rules.
JoyWireless internet provider Andrena has raised $18 million to develop its decentralised broadband protocol, DAWN. As a DePIN, DAWN aims to deliver internet access directly to homes, bypassing traditional providers. Now in testnet phase, DAWN will launch on Solana. Will it revolutionise internet access?
Catherine