前言
北京时间2022年6月8日，知道创宇区块链安全实验室?自动数据监测工具监测到BSC链上NFT项目GYMNetwork因"PublicdepositFromOtherContract"权限控制问题被攻击，损失包括7475枚BNB，共计约216W美元，目前已将兑通过DEX换70W美元的ETH通过Celer跨链到以太坊，2000枚BNB利用BSC-Tornado进行混币，余下3000枚BNB在攻击者地址。
知道创宇区块链安全实验室?第一时间跟踪本次事件并分析。
基础信息
Huobi和MyCointainer成为公链ThunderCore节点验证者:金色财经报道，Huobi 和 MyCointainer 已成为公链 ThunderCore 节点验证者，这意味着这两个平台用户现在已经可以质押 ThunderCore 原生资产 TT 来获得奖励。据悉，Huobi 将负责实施和维护 ThunderCore 节点以进一步保护 ThunderCore 生态系统，在操作节点之上，MyCointainer 将允许在平台上进行 BTC/TT、USDT/TT 等交易对存款和取款。（雅虎财经）[2023/1/6 10:24:16]
被攻击合约：0x0288fba0bf19072d30490a0f3c81cd9b0634258a
孙宇晨：Huobi Global重回前三大交易所:11月9日消息，波场创始人、Huobi Global全球顾问委员会委员孙宇晨发推文称：“看来Huobi Global现在又回到了Top 3交易所。”
此前消息，赵长鹏表示计划完全收购FTX，已签署意向书；FTX相关员工证实，FTX已停止除法币以外的所有加密货币提现。[2022/11/9 12:35:39]
攻击者地址：0xB2C035eee03b821cBe78644E5dA8B8eaA711D2e5
攻击合约：0xcD337b920678cF35143322Ab31ab8977C3463a45、0x68b5f1635522ec0e3402b7e2446e985958777c22
56万枚LINK转入Huobi交易所 价值946.7万美元:据WhaleAlert数据显示，北京时间08月15日05:39，56万枚LINK从0x91a3开头地址转入Huobi交易所，按当前价格计算，价值约946.7万美元，交易哈希为：0xd155f1c227832c0c1ce04c0dca147f3ace92dd7aec7e0874737f3be146b37fca。[2020/8/15]
tx：0xfffd3aca0f53715f4c76c4ff1417ec8e8d00928fe0dbc20c89d875a893c29d89
1000万枚USDT从Tether Treasury钱包转入Huobi交易所:据WhaleAlert数据显示，北京时间07月06日15:18，1000万枚USDT从Tether Treasury钱包转入Huobi交易所，按当前价格计算，价值约1005.1万美元。[2020/7/6]
GymSinglePool代理合约:0xa8987285e100a8b557f06a7889f79e0064b359f2
漏洞分析
项目方在GymSinglePool合约中实现过程中对于0x0288fba0bf19072d30490a0f3c81cd9b0634258a#depositFromOtherContract函数缺少了权限控制，导致攻击者能够通过该函数调用内部_autoDeposit函数实现零消耗质押：
对于应该开放给用户的质押内部函数是_deposit函数，该函数实现了对于token的审批传入，如下图所示：
对应的_autoDeposit函数则实现了"特权"质押，即不需要转入Token进行质押。同时该函数直接暴露给了用户，函数对比如下：
攻击流程
攻击者为了防止链上MEV和抢跑机器人，将合约进行了分步部署执行，同时部署/调用了多次以完成对GymNetwork合约(0x3a0d9d7764FAE860A659eb96A500F1323b411e68)中的GYMNETToken完全抽离，以其中一笔部署调用为例：
1.部署合约后调用depositFromOtherContract实"特权"质押，对应0xfd4a2266方法：
内部调用细节如下:
2.调用0x30649e15实现对上一步特权质押的Token回撤：
3.利用0x1d111d13函数售出获取到的的GYM-Token：
重复多次"特权"质押--回撤--售出步骤，攻击者最终获取到7475枚BNB:
为了抑制抢跑，攻击者将添加质押和回撤进行了步骤分离，两个步骤均为核心操作，同时刻意提高添加部分步骤的GasPrice为15/20gwei,可见攻击者是有意为之。
溯源处置
本次攻击原因是项目方实现的特权函数权限控制不当，在攻击发现的1小时后项目方将GymSinglePool代理合约的逻辑合约进行了多次修改，为其添加了权限控制：
并在20分钟后对逻辑合约添加了紧急账户处置函数：
而对于项目方Deployer地址分析，其部署的多个GymSinglePool合约根据追踪仅在两天前部署的GymSinglePool合约中存在漏洞，4天前的合约则不存在此函数：
同时代理合约对应的逻辑合约被升级为漏洞合约的事件发生在在2days13hrsago：
攻击者的资金准备(FromTornado)则在约6小时以前，攻击者的身份也值得令人深思。
总结
虽然只是一处小的控制缺陷，却导致了数百万美元的损失。项目方的处置虽较为及时，漏洞导致的损失却难以挽回。该类型漏洞在审计过程中很容易被发现并将归纳到逻辑缺陷/不安全的外部调用，各项目方在开发和审计流程上切莫大意。
新加坡私人证券平台ADDX表示,它已成为该国中第一家在评估高净值客户资产时承认加密货币的金融公司。此举凸显了金融服务公司对数字货币的接受程度越来越高,因为它们正在寻求开发广泛的投资者.
DearValuedUsers,HuobiGlobalisscheduledtolistSWAP(Trustswap)onJune7.
用户可以质押CC以获得USDT的流动性收益。质押期将持续7天。详情如下：活动时间：2022年6月7日21:00至2022年6月14日21:00(UTC8)总共可挖矿5,000USDT 可质押矿池.
随着数字资产交易变得越来越主流,全球数字资产的生态系统正稳步扩张。作为全球首家元宇宙生态数字金融平台,8V.com一直通过丰富、趣味的活动形式和实实在在的行动,不断提升用户满意度和粘性,为广大用.
6月4日消息,有社区成员指出,BinanceLabs负责人BillQian是LFG顾问和监管管理委员会成员,也是LFG持有的BTC的多签人之一.
头条 币安：未参与Terra第二轮融资,没有LFG董事席位和多签资格星球日报讯有社区成员指出,BinanceLabs负责人BillQian是LFG顾问和监管管理委员会成员.
链资讯