搜索

[29032] 2021-06-24_蘑菇财务逻辑错误错误修复事后分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-06-24_蘑菇财务逻辑错误错误修复事后分析 蘑 菇 财 务 逻 辑 错 误 错 误 修 复 事 后 分 析 O t s 安 全   2 0 2 1 - 0 6 - 2 4 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍           - 点 击 图 文 广 告   =   打 赏 概 括 概 括 W h i t e h a t   C K K   S e c 是   I m m u n e f i 白 帽 奖 学 金 的 获 得 者 ， 于   6   月   8   日 向   I m m u n e f i   披 露 了   M u s h r o o m s   F i n a n c e   中 的 一 个 严 重 漏 洞 ， 该 漏 洞 包 括 一 个 逻 辑 错 误 ， 导 致 闪 贷 攻 击 向 量 可 能 导 致   1 9   w B T C   的 损 失 ， 以 报 告 发 布 时 的 市 场 价 格 计 算 ， 价 格 为   6 3 5 , 0 0 0   美 元 。 收 到 报 告 后 ， 蘑 菇 金 融 公 司 暂 停 了 合 同 ， 并 向 白 帽 黑 客 支 付 了   6 0 , 0 0 0   美 元 的 赏 金 ， 其 中   1 8 , 0 0 0   美 元 用 于 免 疫 白 帽 奖 学 金 。 该 奖 学 金 帮 助 崭 露 头 角 的 安 全 研 究 人 员 有 机 会 从 全 职 工 作 中 抽 出 时 间 ， 以 便 他 们 可 以 全 职 寻 找 漏 洞 。 虽 然 针 对 严 重 漏 洞 的 悬 赏 金 额 为   5 0 , 0 0 0   美 元 ， 但 M u s h r o o m s   F i n a n c e   支 付 的 金 额 高 于 该 金 额   1 0 , 0 0 0   美 元 ， 以 确 认 面 临 风 险 的 资 金 规 模 。 我 们 感 谢   M u s h r o o m s   F i n a n c e   的 慷 慨 和 认 真 对 待 安 全 和 责 任 。 漏 洞 分 析 漏 洞 分 析 由 于   M u s h r o o m s   F i n a n c e   中 的 两 个 合 约 之 间 的 交 互 而 存 在 漏 洞 ： （ S t r a t e g y C m p d W b t c V 1 策 略 ） 和 M M V a u l t （ V a u l t ） 。 策 略 合 约 具 有 闪 贷 功 能 ， m u s h r o o m s F l a s h l o a n ( ) 任 何 用 户 都 可 以 调 用 该 功 能 ， 从   C o m p o u n d   中 清 算 持 有 的   w B T C   c T o k e n   并 将 该   w B T C   提 供 给   V a u l t 。 由 于 其 最 初 目 的 仅 用 于   M M V a u l t   回 调 ， 这 显 然 是 错 误 的 。 这 意 味 着 攻 击 者 可 以 从   V a u l t   快 速 贷 款 并 通 过   S t r a t e g y   中 存 在 的 易 受 攻 击 的 功 能 偿 还 它 。 然 而 ， 漏 洞 不 仅 可 能 因 此 而 存 在 。 漏 洞 m u s h r o o m s F l a s h l o a n ( ) 包 含 一 个 检 查 ， 用 于 验 证 策 略 合 约 是 否 有 足 够 的 余 额 来 完 成 从   M M V a u l t   中 提 取 的 闪 贷 。 r e q u i r e ( b a l a n c e O f W a n t ( )   > =   _ a m o u n t ,   ‘ ! i n v a l i d F l a s h A m o u n t ’ ) ; 由 于 攻 击 者 不 仅 可 以 定 义 金 额 ( _ a m o u n t ) ， 还 可 以 定 义 使 用   f l a s h l o a n   支 付 的 费 用 ， 因 此 可 以 绕 过 此 检 查 ( _ f e e ) 。 这 背 后 的 原 因 是 ， 易 受 攻 击 的 f l a s h l o a n   功 能 不 是 任 何 人 都 可 以 调 用 的 ， 而 是 只 有 在 调 用   V a u l t   的   f l a s h l o a n   时 才 会 被   V a u l t   调 用 。 使 用 额 外 的   - _ f e e 参 数 ， 攻 击 者 可 以 绕 过 几 次 检 查 （ 这 可 能 会 使 攻 击 更 加 麻 烦 ） ， 这 将 导 致 从 之 前 提 供 的   C o m p o u n d   中 提 取   w B T C   的 策 略 合 约 。
该 攻 击 涉 及 三 项 闪 电 贷 款 ， 可 以 通 过 以 下 步 骤 进 行 说 明 ： 1 .   从 其 他 地 方 （ 例 如   U n i s w a p ） 闪 借   w B T C 2 .   将   w B T C   存 入   M M V a u l t ， 获 得   M u s h r o o m   c T o k e n s   的 份 额 。 这 一 步 和 第 一 步 只 需 要 ， 因 为 M M V a u l t 一 般 不 持 有 w B T C 。 3 .   现 在 M M V a u l t 有 w B T C ， 从 M M V a u l t 闪 贷 w B T C 到 攻 击 合 约 （ 这 个 w B T C 成 为 攻 击 收 益 ， 会 保 存 在 攻 击 合 约 中 ） 。 4 .   攻 击 合 约 调 用 m u s h r o o m s F l a s h l o a n S t r a t e g y C m p d W b t c V 1 ， 偿 还 你 刚 刚 在 w B T C 中 获 得 的 M M V a u l t 闪 贷 。 实 际 上 ， 策 略 合 约 偿 还 的 是 闪 电 贷 款 ， 而 不 是 攻 击 者 ， 这 就 是 为 攻 击 者 产 生 利 润 的 原 因 。 之 所 以 发 生 还 款 ， 是 因 为 该 策 略 首 先 从   C o m p o u n d   中 提 取 基 础 w B T C ， r e q u i r e ( I C T o k e n ( c w b t c ) . r e d e e m U n d e r l y i n g ( t o t a l )   = =   0 ,   “ ! r e d e e m F l a s h D e l e v e r a g e ” ) ; 并 且 t o t a l 是 _ a m o u n t +   _ f e e （ 因 为 _ a m o u n t 是   0 ， 所 以 只 有 _ f e e ） ， 然 后 在 最 后 一 行 将 提 取 的   w B T C   转 移 到   M M V a u l t m u s h r o o m s F l a s h l o a n ( )   I E R C 2 0 ( w a n t ) . t r a n s f e r ( m w b t c ,   t o t a l ) ; 5 .   M M V a u l t 闪 借 结 束 ， 返 回 给 调 用 者 （ 攻 击 合 约 ） 6 .   从   w B T C   M M V a u l t   提 取 股 份 ， 获 得 额 外 的   w B T C 。 注 意 ： 步 骤   2   中 最 初 提 供 的   w B T C   不 再 仅 由 攻 击 者 拥 有 ， 而 是 攻 击 者 现 在 仅 根 据 其 份 额 部 分 拥 有 它 。 但 主 要 利 润 将 发 生 在 第   4   步 7 .   从 其 他 地 方 偿 还   w B T C   f l a s h l o a n （ 例 如   U n i s w a p ） 漏 洞 修 复 漏 洞 修 复 根 据 E I P 3 1 5 6 重 新 实 施 了 所 有   M u s h r o o m s   V a u l t s   和   F l a s h l o a n   相 关 逻 辑 上 的 F l a s h l o a n   支 持 。 致 谢 致 谢 我 们 要 感 谢 蘑 菇 财 务 团 队 对 错 误 报 告 的 快 速 有 效 响 应 。 M u s h r o o m s   F i n a n c e   向 白 帽 公 司 支 付 了   6 0 , 0 0 0   美 元 的 赏 金 ， 其 中   1 8 , 0 0 0   美 元 用 于 白 帽 奖 学 金 。 要 报 告 其 他 漏 洞 ， 请 参 阅   M u s h r o o m s   F i n a n c e   的 I m m u n e f i 漏 洞 赏 金 计 划 。 如 果 您 有 兴 趣 使 用   M u s h r o o m s   F i n a n c e   等 漏 洞 悬 赏 来 保 护 您 的 项 目 ， 请 访 问   I m m u n e f i 服 务 页 面 并 填 写 表 格 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理