搜索

[16000] 2020-10-23_DeFiSaver用户的31万枚DAI是如何被盗的？

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-10-23_DeFiSaver用户的31万枚DAI是如何被盗的？ D e F i   S a v e r 用 户 的 3 1 万 枚 D A I 是 如 何 被 盗 的 ？ 慢 雾 科 技   F r e e B u f   2 0 2 0 - 1 0 - 2 3 背 景 背 景 2 0 2 0 年 1 0 月 8 号 ， 去 中 心 化 钱 包 i m T o k e n 发 推 表 示 ， 用 户 报 告 称 3 1 万 枚   D A I 被 盗 ， 这 与   D e F i   S a v e r   E x c h a n g e 漏 洞 有 关 。 D e F i   S a v e r   对 此 回 应 称 ， 被 盗 资 金 仍 旧 安 全 ， 正 在 联 系 受 害 用 户 。 截 至 目 前 ， 资 金 已 全 部 归 还 受 害 用 户 。 早 在 今 年 6 月 份 D e F i   S a v e r 就 表 示 该 团 队 发 现 D e F i   S a v e r   应 用 系 列 中 自 有 交 易 平 台 的 一 个 漏 洞 ， 此 次 3 1 万 枚   D A I   被 盗 也 与 此 前 的 S a v e r E x c h a n g e 合 约 漏 洞 有 关 。 在 收 到 情 报 后 ， 针 对 此 次   3 1   万 枚   D A I   被 盗 事 件 展 开 具 体 的 分 析 。 攻 击 过 程 分 析 攻 击 过 程 分 析 查 看 这 笔 攻 击 交 易 ： h t t p s : / / e t h e r s c a n . i o / t x / 0 x c d 9 d a d 4 0 b 4 0 9 8 9 7 d 0 5 f a 0 e 6 0 e d 4 e 5 8 e b 9 9 8 7 6 f e b f 9 4 b c 9 7 6 7 9 b 7 f 4 5 8 3 7 e a 8 6 b 7 其 中 可 以 看 到 被 盗 用 户   0 x c 0   直 接 转 出   3 1   万 枚   D A I   到 攻 击 合 约   0 x 5 b 。 我 们 可 以 使 用   O K O   浏 览 器 查 看 具 体 的 交 易 细 节 ： h t t p s : / / o k o . p a l k e o . c o m / 0 x c d 9 d a d 4 0 b 4 0 9 8 9 7 d 0 5 f a 0 e 6 0 e d 4 e 5 8 e b 9 9 8 7 6 f e b f 9 4 b c 9 7 6 7 9 b 7 f 4 5 8 3 7 e a 8 6 b 7 / 从 中 可 以 看 出 攻 击 者 通 过 调 用 s w a p T o k e n T o T o k e n 函 数 传 入   _ e x c h a n g e A d d r e s s ， _ s r c ， _ d e s t 为 D A I 合 约 地 址 ， 选 择   _ e x c h a n g e T y p e 为 4 ， 并 传 入 自 定 的 _ c a l l D a t a 。 可 以 猜 测 这 是 攻 击 成 功 的 关 键 函 数 ， 接 下 来 对 其 进 行 具 体 的 分 析 ：
1 、 在 代 码 第 5 行 可 以 看 到 先 对 o r d e r A d d r e s s e s [ 1 ] 是 否 为   K Y B E R _ E T H _ A D D R E S S 地 址 做 了 判 断 ， 由 于   o r d e r A d d r e s s e s [ 1 ]   为 D A I   合 约 地 址 ， 因 此 将 直 接 调 用   t r a n s f e r F r o m   函 数 将 数 量 为 _ a m o u n t   的   D A I   转 入 本 合 约 。 2 、 接 下 来 在 代 码 第 1 1 、 1 2   行 ， 通 过   t a k e F e e   函 数 计 算   f e e ， 最 终 计 算 结 果 都 为   0 ， 这 里 不 做 展 开 。 3 、 由 于 攻 击 者 传 入 的   _ e x c h a n g e T y p e 为 4 ， 因 此 将 走 代 码 第 2 2 行   i f   ( _ e x c h a n g e T y p e   = =   4 )   的 逻 辑 。 在 代 码 中 我 们 可 以 看 出 在 此 逻 辑 中 调 用 了 t a k e O r d e r 函 数 ， 并 传 入 了 攻 击 者 自 定 的   _ c a l l D a t a ， 注 意 这 将 是 本 次 攻 击 的 关 键 点 ， 接 下 来 切 入 分 析 t a k e O r d e r 函 数 ： 4 、 在 t a k e O r d e r 函 数 中 的 第 4 行 ， 我 们 可 以 直 观 的 看 出 此 逻 辑 可 对 目 标   _ a d d r e s s e s [ 0 ] 的 函 数 进 行 调 用 ， 此 时 _ a d d r e s s e s [ 0 ] 为   _ e x c h a n g e A d d r e s s   即   D A I   合 约 地 址 ， 而 具 体 的 调 用 即 攻 击 者 自 定 传 入 的 _ c a l l D a t a ， 因 此 如 果 持 有   D A I   用 户 在 D A I 合 约 中 对 S a v e r E x c h a n g e 合 约 进 行 过 授 权 ， 则 可 以 通 过 传 入 的 _ c a l l D a t a   调 用 D A I 合 约 的   t r a n s f e r F r o m   函 数 将 用 户 的 D A I 直 接 转 出 ， 具 体 都 可 以 在 _ c a l l D a t a   中 进 行 构 造 。 5 、 接 下 来 由 于 返 回 的 t o k e n s [ 0 ] 为 1 ， 所 以 将 走 s w a p T o k e n T o T o k e n 函 数 代 码 块 中 第 7 6 行 以 下 的 逻 辑 ， 可 以 看 到 都 是 使 用 i f 判 断 的 逻 辑 ， 毫 无 疑 问 都 能 走 通 。 分 析 思 路 验 证 分 析 思 路 验 证 让 我 们 通 过 攻 击 者 的 操 作 来 验 证 此 过 程 是 否 如 我 们 所 想 ： 1 、 通 过 链 上 记 录 可 以 看 到 ， 被 盗 的 用 户 历 史 上 有 对   S a v e r E x c h a n g e 合 约 进 行   D A I   的 授 权 ， 交 易 哈 希 如 下 ： 0 x d c f 7 3 8 4 8 0 2 2 e c 1 f 7 3 0 d 9 f d b 9 0 f 4 e 8 5 6 3 f 0 d f f 4 8 d 9 1 9 1 a a b 1 9 f c 5 1 2 4 1 7 0 8 e a c f 0 2 、 通 过 链 上 数 据 可 以 发 现 传 入 的   _ c a l l D a t a   为 ： 其 中 可 以 看 出   2 3 b 8 7 2 d d   为   t r a n s f e r F r o m   函 数 签 名 。 3 、 通 过 链 上 调 用 过 程 可 看 出 攻 击 者 直 接 调 用   D A I   合 约 的   t r a n s f e r F r o m   函 数 将 被 盗 用 户 的   3 1   万 枚   D A I   转 走 ： 完 整 的 攻 击 流 程 如 下 完 整 的 攻 击 流 程 如 下 1 、 攻 击 者 调 用 s w a p T o k e n T o T o k e n 函 数 传 入 _ e x c h a n g e A d d r e s s 为   D A I 合 约 地 址 ， 选 择 _ e x c h a n g e T y p e 为 4 ， 并 将 攻 击 P a y l o a d 放 在 _ c a l l D a t a 中 传 入 。 2 、 此 时 将 走 _ e x c h a n g e T y p e = = 4 的 逻 辑 ， 这 将 调 用 t a k e O r d e r 函 数 并 传 入 _ c a l l D a t a 。 3 、 t a k e O r d e r 函 数 将 对 传 入 的 _ c a l l D a t a 进 行 具 体 调 用 ， 因 此 如 果 持 有   D A I   用 户 在   D A I   合 约 中 对 S a v e r E x c h a n g e 合 约 进 行 过 授 权 ， 则 可 以 通 过 传 入 的 _ c a l l D a t a 调 用 D A I 合 约 的 t r a n s f e r F r o m   函 数 将 用 户 的   D A I   直 接 转 出 ， 具 体 都 可 以 在 _ c a l l D a t a 中 进 行 构 造 。 4 、 通 过 构 造 的 _ c a l l D a t a   与 此 前 用 户 对 S a v e r E x c h a n g e 合 约 进 行 过   D A I 的 授 权 ， S a v e r E x c h a n g e 合 约 可 以 通 过 调 用 D A I 合 约 的   t r a n s f e r F r o m 函 数 将 用 户 账 户 中 的 D A I 直 接 转 出 至 攻 击 者 指 定 的 地 址 。 最 后 思 考 最 后 思 考 此 漏 洞 的 关 键 在 于 攻 击 者 可 以 通 过 t a k e O r d e r 函 数 对 目 标 合 约   _ a d d r e s s e s [ 0 ] 的 任 意 函 数 进 行 任 意 调 用 ， 而 传 入 t a k e O r d e r 函 数 的 参 数 都 是 用 户 可 控 的 ， 且 未 对 参 数 有 任 何 检 查 或 限 制 。 因 此 ， 为 避 免 出 现 此 类 问 题 ， 建 议 项 目 方 使 用 白 名 单 策 略 对 用 户 传 入 的 _ c a l l D a t a 等 参 数 进 行 检 查 ， 或 者 结 合 项 目 方 具 体 的 业 务 场 景 寻 找 更 好 的 调 用 方 式 ， 而 不 是 不 做 任 何 限 制 的 进 行 随 意 调 用 。 此 漏 洞 不 仅 只 影 响 到 通 过   D A I   合 约 对 S a v e r E x c h a n g e 合 约 授 权 过 的 用 户 ， 如 果 用 户 历 史 对 S a v e r E x c h a n g e 合 约 有 进 行 过 其 他 T o k e n 的 授 权 ， 则 都 会 存 在 账 户 T o k e n 被 任 意 转 出 风 险 。 建 议 此 前 有 对 S a v e r E x c h a n g e 合 约 进 行 过 授 权 的 用 户 尽 快 取 消 授 权 （ 推 荐 使 用 h t t p s : / / a p p r o v e . s h / 网 站 自 查 授 权 情 况 ） ， 避 免 账 户 资 产 被 恶 意 转 出 。 相 关 参 考 链 接 如 下 ： 相 关 参 考 链 接 如 下 ： h t t p s : / / m e d i u m . c o m / d e f i - s a v e r / d i s c l o s i n g - a - r e c e n t l y - d i s c o v e r e d - e x c h a n g e - v u l n e r a b i l i t y - f c d 0 b 6 1 e d f f e h t t p s : / / t w i t t e r . c o m / i m T o k e n O f f i c i a l / s t a t u s / 1 3 1 4 1 2 6 5 7 9 9 7 1 1 8 6 6 8 8 精 彩 推 荐 精 彩 推 荐 f u n c t i o n   s w a p T o k e n T o T o k e n ( a d d r e s s   _ s r c ,   a d d r e s s   _ d e s t ,   u i n t   _ a m o u n t ,   u i n t   _ m i n P r i c e ,   u i n t   _ e x c h a n g e T y p e ,   a d d r e s s   _ e x c h a n g e A d d r e s s ,   b y t e s   m e m o r y   _ c a l l D a t a ,   u i n t   _ 0 x P r i c e )   p u b l i c   p a y a b l e   { f u n c t i o n   t a k e O r d e r ( a d d r e s s [ 3 ]   m e m o r y   _ a d d r e s s e s ,   b y t e s   m e m o r y   _ d a t a ,   u i n t   _ v a l u e ,   u i n t   _ a m o u n t )   p r i v a t e   r e t u r n s ( b o o l ,   u i n t ,   u i n t )   { b o o l   s u c c e s s ; ( s u c c e s s ,   )   =   _ a d d r e s s e s [ 0 ] . c a l l . 2 3 b 8 7 2 d d   / / S l o w M i s t / /   t r a n s f e r F r o m   函 数 签 名 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 c 0 0 1 c d 7 a 3 7 0 5 2 4 2 0 9 6 2 6 e 2 8 e c a 6 a b e 6 c f c 0 9 b 0 e 5 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 5 b b 4 5 6 c d 0 9 d 8 5 1 5 6 e 1 8 2 d 2 c 7 7 9 7 e b 4 9 a 4 3 8 4 0 1 8 7 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 1 a 5 2 2 3 8 6 d 9 b 9 5 c 0 0 0 0 0   /
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理