Giao thức tương tác chuỗi chéo Socket bị tấn công chèn lệnh gọi của tin tặc như thế nào?

Nguồn: Beosin

Vào ngày 17 tháng 1 năm 2024, theo giám sát rủi ro bảo mật EagleEye của Beosin, cảnh báo sớm và giám sát nền tảng chặn,Giao thức socket đã bị kẻ tấn công tấn công chèn lệnh gọi, dẫn đến trong một số lượng lớn tiền của người dùng được ủy quyền đã bị đánh cắp. Hiện tại, kẻ tấn công chuyển số tiền bị đánh cắp thành ETH và lưu chúng vào địa chỉ của kẻ tấn công.

Sau khi cuộc tấn công xảy ra, Socket đã chính thức xác nhận rằng nó đã bị tấn công và ngay lập tức đình chỉ các hợp đồng bị ảnh hưởng.

Đồng thời, MetaMask ban hành văn bản về X nền tảng cho biết, Người dùng MetaMask Bridge không bị ảnh hưởng bởi lỗ hổng Socket xảy ra ngày hôm nay. MetaMask cho biết họ đã áp dụng một kiến ​​trúc độc đáo khi thiết kế hợp đồng cầu nối chuỗi chéo để ngăn chặn các cuộc tấn công như vậy.

Về cuộc tấn công này, nhóm bảo mật Beosin đã phân tích.

Phân tích lỗ hổng

Lý do chính cho sự cố này là Chức năng performanceAction của hợp đồng socket thực hiện không tồn tại Gọi cuộc gọi an toàn. Như trong hình bên dưới, chức năng cơ bản của chức năng này là chuyển đổi ETH và WETH của người dùng. Nếu người gọi chọn fromToken là ETH thì số dư toToken (WETH) của hợp đồng sẽ được truy vấn và sau đó toToken được gọi thông qua lệnh gọi (logic thông thường. Tiếp theo, chức năng gửi tiền của WETH phải được gọi ở đây) và số lượng ETH do người dùng chỉ định sẽ được chuyển. Tiếp theo, số dư mới của toToken (WETH) của hợp đồng sẽ được truy vấn. Nếu có bằng với số ETH mà người dùng chuyển, sau đó nó được chuyển và toToken được chuyển. Chỉ định địa chỉ của người gọi. Nếu người gọi chọn fromToken không phải ETH thì cũng tương tự như trên, chức năng là chuyển đổi WETH của người gọi thành ETH (trong trường hợp bình thường, cuộc gọi phải gọi hàm rút của WETH) và gửi đến địa chỉ người dùng chỉ định. Địa chỉ.

Mặc dù không có hạn chế kiểm tra nào đối với fromToken và toToken trong hàm, ngoại trừ địa chỉ WETH được truyền vào, các địa chỉ ERC20 khác sẽ khiến việc kiểm tra số dư không thành công, khiến không thể giả mạo hai tham số này và gián tiếp thay đổi địa chỉ mã thông báo. Giới hạn ở WETH.  

Mặc dù có những hạn chế về địa chỉ mã thông báo, chức năng này cũng có vấn đề là không có giới hạn về số tiền. Nếu số tiền người gọi chuyển vào là 0 thì điều kiện kiểm tra của hàm sẽ luôn đạt và không cần phải gọi hàm gửi và rút tiền của WETH. Tại thời điểm này, dữ liệu bất thường có thể được đưa vào cuộc gọi để đạt được mục đích tấn công.