IST:权限问题：Crosswise被黑事件分析_Strite

此次攻击导致协议损失87.9万美元

近日，BSC上Crosswise遭遇黑客攻击,此次攻击导致协议损失87.9万美元。攻击者仅用1个CRSStoken便获取CrosswiseMasterChef池中价值87.9万美元的692K个CRSS

SharkTeam第一时间对此事件进行了攻击分析和技术分析，并总结了安全防范手段，希望后续的区块链项目可以引以为戒，共筑区块链行业的安全防线。

事件分析

攻击过程如下：

Uniswap创始人Hayden Adams已重新掌握其推特账号权限:7月21日消息，Uniswap创始人Hayden Adams发推称，已重新掌握其推特账号权限。据此前Uniswap发布风险提示，Hayden账号被黑，请用户警惕钓鱼链接。[2023/7/21 11:08:32]

修改owner

首先设置trustedFowarder，然后通过transferOwnership函数修改owner。该过程中，自定义的_msgSender()函数存在漏洞。trustedForwarder的修改缺少权限限制，导致_msgSender函数的判断可以通过修改trustedForwarder变量来影响其结果，最终使得owner可以被其他用户修改。

MagicEden：疑似存在SOL漏洞可窃取Phantom钱包资产，提醒用户撤销可疑链接权限:8月3日消息，Solana生态NFT市场MagicEden发推称，疑似存在一个SOL漏洞可以窃取Phantom钱包内资产。提醒用户进行以下设置保护资产：1.进入Phantom设置；2.受信任的应用程序；3.撤销任何可疑链接的权限。[2022/8/3 2:55:00]

由于上一步攻击者修改了owner，即获取了owner权限，因此，攻击者调用了set函数设置了MasterChef合约中的0号矿池的策略。

美参议院银行委员会：建议对CBDC赋予更大权限:当地时间本周二，美国参议院银行委员会举行一场关于美联储监督听证会，其中重点讨论央行数字货币（CBDC）这一主题。美联储负责监督工作的副主席Randal Quarles代表该机构作证。参议员克里斯·范·霍尔伦（Chris Van Hollen）表示：我很高兴看到美联储发布有关央行数字货币的报告，并取得进展。如果联储选择发行央行数字货币，在现有权力下是否可以启动试点工作？或者说，你认为启动央行数字货币是否需要国会授权？

Randal Quarles回答说，美联储正在研究央行数字货币是否适合美国，这是一个非常开放的问题，但从更广泛的试点角度来看，央行数字货币可能需要更多的权限。在回答新兴技术和加密公司简化金融服务问题时，Randal Quarles认为在某些情况下，金融科技公司试图寻求在没有银行合作伙伴的情况下开展业务，这么做可以让企业以更低成本运营也更具包容。（The Block）[2021/5/26 22:44:44]

声音 | 澳本聪：没有私钥访问权限，无法归还比特币:金色财经报道，澳本聪（Craig Wright）对彭博社表示，由于有问题的比特币地址被锁定，他无法在给定时间内放弃价值30亿美元的比特币，并将其交给已去世的商业伙伴Dave Kleiman的兄弟Ira Kleiman。澳本聪说，他目前对私钥的访问权限为零，因此他无法归还比特币。同时补充说，他并没有说过这些“私钥”将在下个月可用或实际使用。[2019/12/27]

通过MasterChef合约中的withdraw函数提取了692184.64CRSS.

将CRSS兑换为BNB.

通过Tornado实现混币，将盗取的BNB转移到其他账户地址

总结：本次攻击的根本原因是项目方自定义的_msgSender函数存在漏洞，导致合约的Owner权限可以被黑客更改从而获取MasterChef合约的Owner权限，最后通过Owner权限窃取了项目中的资金。另外，攻击者账户发起攻击的资金来源于Tornado混币平台。

安全建议

SharkTeam提醒您，在涉足区块链项目时请提高警惕，选择更稳定、更安全，且经过完备多轮审计的公链和项目，切不可将您的资产置于风险之中，沦为黑客的提款机。

SharkTeam作为领先的区块链安全服务团队，为开发者提供智能合约审计服务。智能合约审计服务由人工审计和自动化审计构成，满足不同客户需求，独家实现覆盖高级语言层、虚拟机层、区块链层、业务逻辑层四个方面近两百项审计内容，全面保障智能合约安全。

来源：金色财经

标签：ISTDUCCTISTRIWISTA价格Happy Duck Farmauction币行情Strite

BNB价格热门资讯