千里の堤防は蟻塚に破壊された 要塞プロトコルが攻撃された

2022年5月9日, 北京時間, Zhichuangyu Blockchain Security Labは、BSCチェーンレンディングプロトコルであるFortress Protocolがオラクルの問題により攻撃されたことを検出した. これは、最近研究所によって検出された3回目のオラクル攻撃インシデントである. 損失には1,048 ETHが含まれているおよび 400,000 DAI 、合計約 300W USD 現在、AnySwap と Celer はイーサリアムへのクロスチェーンに使用され、通貨混合には Tornado が使用されています。

Chuangyu Blockchain Security Lab がこの事件を初めて追跡し、分析したことを知ってください。

攻撃されたコントローラー: 0x01bfa5c99326464b8a1e1d411bb4783bb91ea629

攻撃されたオラクルアドレス: 0xc11b687cd6061a6516e23769e4657b6efa25d78e

攻撃者のアドレス: 0xA6AF2872176320015f8ddB2ba013B38Cb35d22Ad

攻撃契約: 0xcD337b920678cF35143322Ab31ab8977C3463a45

tx: 0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf

このプロジェクトは依然として Compound の模倣ディスクですが、プロジェクト当事者がオラクル マシンでオリジナルの検査に注釈を付けているため、0xc11b687cd6061a6516e23769e4657b6efa25d78e#submit; を通じて価格を改ざんするのに十分なパワーは必要ありません。

攻撃者は、契約にある FTS の価格を変更することで、他のプールから資産を借りました。市場のローンプールは次のとおりです。

1. 攻撃者は FTS トークンを購入し、プロポーザルを通じて FTS を担保として追加することに投票しました。プロポーザル ID は 11 です。

2. oracle submit 関数を呼び出して FTS の価格を変更します。

3. 攻撃者は、100 FTS を担保として enterMarket を呼び出し、市場に参入します。

4. 市場価格による FTS の価値の計算に問題があるため、攻撃者は担保を使用して直接ボロー・トゥ・ボローをコールします。

借用資産:

5. 100 FTS には価値がなく、取得する必要がないため、攻撃者は引き続き最初のステップで使用した他の FTS を使用して、パンケーキ交換で完全に現金化します。

この攻撃の理由は、Oracle での Compound 模倣ディスクの使用に問題があるためです。最近、Compound の模倣ディスク プロジェクトが大量に攻撃されています。Compound をフォークしたすべてのプロジェクト関係者に率先して自己調査を行うことを強くお勧めします。現在知られている攻撃は主に次の問題によるものです。

千マイルの堤防がアリの巣によって破壊される。内部呼び出しから、攻撃者が getAllMarkets を使用してすべての市場の原資産を順に横断して取得し、FTS を完全に現金化したことがわかります。プロジェクト当事者は、独自のさまざまな実装について十分に理解し、十分なサードパーティのセキュリティ監査を受ける必要があることが推奨されます。小さなエラーがプロジェクト全体の損失につながる可能性があります。