空手套白狼 —— YIEDL 被黑分析

时间:2024-09-19 编辑: 浏览:(50)

By: Sissice

背景

2024 年 4 月 24 日,据慢雾安全团队情报,BSC 链上的 YIEDL 项目遭攻击,攻击者获利约 30 万美元。慢雾安全团队对该攻击事件展开分析并将结果分享如下:

(https://twitter.com/SlowMist_Team/status/1782962346039898473)

相关信息

攻击者地址:

0x322696471792440499b1979e0a440491e870667a

被攻击合约地址:

0x4edda16ab4f4cc46b160abc42763ba63885862a4

部分攻击交易:

0x49ca5e188c538b4f2efb45552f13309cc0dd1f3592eee54decfc9da54620c2ec

0x3629ad588ac120163792e92b6c43bd4bdc5bf35cac66eb7f3a0267df93abc849

0x0a89b8670c40b4067b9522a5933c3bf8c44c968103aa642b04c65d49ad9e6457

0x5e468cba495e5f6165418fb9d87d824309c54261055425f33f588dd3b3abbcea

0x8710034dadecfc8c26f651c612f613fffdece6e2f9957b9ec8ab843218168c1d

0x9da398ed274c8cfa774b36003fa8c930d3430d0fc5889b5008830fd6463f68a9

0x2e3d4332f66a334e0170187011ed673dc222f95bf4443b618e08f8052437ef7a

0x5a15fdc57c35f2305aaa0bb95b109ad412b17406d737d137190fe5867393339d

0x8ef3765665cd849cdf9132ab37caf6aa0f891e1f7d9f418f86a6ab6ea38b6f5b

0xa9fa04b033afbed2218679aea92e9429a5f7839d0b4c65358ebf9ba20efcd021

攻击核心

本次事件的攻击核心是利用合约处理 redeem 函数调用时未能充分验证用户输入的外部参数。该参数是控制资产兑换的关键数据,通常包含特定的交易指令或路由信息。攻击者通过恶意构造这一外部参数,实现了未授权的资产转移。

交易分析

攻击者多次调用 redeem 函数,申请赎回数量为 0 的资产,此行为本身看似无害,因为赎回数量为零时通常不会触发任何实际的资金流动:

但是跟进 redeem 函数可以发现,该函数会遍历合约允许的资产列表,并在当前资产不为用户希望接收的资产时,会根据传入的 dataList 参数解析并外部调用 1inch Router 中对应的函数来执行资产兑换操作。

而由于此处传入的 dataList 并未经过检查和验证,使得攻击者可以构造恶意的值去执行 1inch Router 合约的 unoswapTo 函数来进行任意可控的兑换代币操作。

结果,Yiedl BULL 合约中的 WBNB-ADA Token 被兑换为 BNB 至攻击者的地址。

通过这种方式,攻击者无需实际拥有任何赎回份额,即可触发由 dataList 参数控制的代币兑换操作,在不消耗自身资产的情况下,多次调动合约资金,获利离场。

总结

本次攻击的核心在于函数未能充分验证用户输入的 dataList 参数,导致攻击者可以构造恶意的外部数据并利用 1inch 套走合约中的代币。慢雾安全团队建议项目方在开发中实施严格的参数验证机制,尤其是在涉及合约中的资金操作时,要确保所有外部调用均符合预期的行为规范,并对合约的逻辑进行彻底的安全审计,避免类似事件再次发生。

最新 更多 >
  • 1 MTK币最高的时候是多少钱?

    MTK币最高的时候是多少钱?MTK币是一种虚拟货币,于2019年首次上线交易所,经过几年的发展,一度成为市场上备受瞩目的热门币种之一。那么,MTK币最高的时候是多少钱呢?接下来我们来一探究竟。回顾MTK币在市场上的表现,其价格发生了不少波动。2019年5月,MTK币刚上线时,其价格仅为0.05美元,但随着其在市场上逐渐受到关注,价格逐步攀升。截至2021年9月,MTK币的最高价为1.63美元。MT

  • 2 DEGEN币最高的时候是多少钱?

    DEGEN币最高的时候是多少钱?DEGEN币是2021年3月份推出的一个新兴加密数字货币。DEGEN币的核心目的是通过为社交平台和去中心化应用(DApps)提供安全的身份验证和信任机制来帮助逐步建立无需信任的数字世界。当DEGEN币推出的时候,该数字货币的初始价值较低,约为0.00002美元。然而,由于DEGEN币在加密数字货币市场中受到了广泛关注,并且因为其帮助创建无需信任的数字社交和去中心化应

  • 3 NEPT币最高的时候是多少钱?

    NEPT币最高的时候是多少钱?作为加密货币市场上的新秀,NEPT币在过去几年中吸引了众多投资者的关注。NEPT币是区块链技术的一种应用,它的关注度一直在上升。尽管这个币种在历史中的价格波动非常大,但仍有很多人在考虑是否要在这个市场上投资。那么NEPT币的最高价是多少呢?NEPT币的最高价是在2018年1月9日达到的,当时NEPT币的价格一度飙升到了32.74美元。许多人认为,这个价格是NEPT币最

  • 4 DFAI币历史价格走势怎么样?

    DFAI币作为一个新兴数字货币,其价格走势备受关注。自从它首次推出以来,人们一直在关注它的价格波动。随着时间的推移,DFAI币价格走势也经历了许多起伏。DFAI币的初始价格DFAI币最早在2018年10月推出时,其初始价格只有0.01美元。初期价格相对较低,使得一些散户容易入手,但整体交易量并不太高。DFAI币的价格快速上涨然而,DFAI币并不会一直停留在初始价格。在接下来的几个月中,DFAI币的

  • 5 NEX币的创始人是谁

    在目前数字货币市场上,出现了很多值得投资的币种,比如比特币,以太坊等等,其中有一种币种则备受关注,那就是NEX币,那么NEX币的创始人是谁呢?NEX币的创始人NEX币的创始人是一位名叫JY的中国人,他是Nash社交平台的创始人。JY一直致力于推广区块链技术,并且致力于将数字货币的应用推广到现实生活中。JY在2015年开始接触比特币和区块链技术,他深深地被这种技术所吸引。在2017年,他创立了Nas

  • 6 MST币的创始人是谁

    谁是MST币的创始人?MST币是一种加密数字货币,是区块链技术的重要应用之一。MST币的创始人是一位名叫徐祎栋(Eric Xu)的年轻人,他曾在谷歌、金融机构等知名公司工作过,拥有丰富的技术和金融背景。MST币的创始人:徐祎栋徐祎栋的父亲是一位从事金融投资的专业人士,自小受到父亲的熏陶,他对金融行业非常感兴趣,并且自学了很多有关金融的知识。后来他考入了清华大学计算机科学与技术系,学习了计算机科学和

  • 7 NOBI币的创始人是谁

    NOBI币的创始人是谁?在数字货币市场中,NOBI币毫无疑问是备受关注的加密货币之一。然而,关于NOBI币的创始人仍然是一个相对默然的话题。尽管有很多人猜测或者宣称知道创始人是谁,但是NOBI币创始人的真实身份却一直没有被正式披露。那么,谁创建了NOBI币?NOBI币的创造者,也许出于个人隐私保护的考虑,没有公开身份。不过,这种情况是数字货币市场中非常常见的。 很多创始人因为各种原因不希望暴露身份

  • 8 NERIAN币的创始人是谁

    在区块链领域,有很多不同的加密数字货币,比如比特币、以太坊、瑞波币等等。今天我们要聊的是一种叫做NERIAN(NER)的数字货币,那么NERIAN币的创始人是谁呢?NERIAN币是什么?首先我们来简单了解一下NERIAN币是什么。NERIAN币于2018年11月正式成立,它是基于区块链技术的一种数字货币。它是为了提供一种便捷的支付方式,并且让全球范围内的人们更方便地进行交易,而被创造出来的。与其他

  • 9 DCNTR币最高的时候是多少钱?

    DCNTR币最高时价为多少?在加密货币市场的世界里,DCNTR币是一个相对较新的数字货币,由Decentralized Charity Foundation发行,以慈善为宗旨。这个数字货币在2018年12月达到了其历史价值的最高点。那么DCNTR币最高时价为多少?事实上,在2018年12月初,DCNTR币的价格曾经飙升到每枚2.5美元左右。然而,DCNTR币 价格在随后的几周内迅速下跌,致使它的市

  • 10 MS币最高的时候是多少钱?

    MS币最高价曾突破1.7美元MS币是一种基于以太坊区块链的著名数字货币,于2016年8月诞生并开源,采用随机POW+POS混合算法,具有快速交易速度、低手续费、匿名性等优点,是众多数字货币中具有潜力的一种。在2017年的数字货币热潮中,MS币的价格快速上涨。截至2018年1月,MS币的历史最高价曾突破1.7美元,相当于11.5元人民币。这让MS币成为市值前100的数字货币之一,而且该币现在市值仍然