RCH:THORChain 连遭三击，黑客会是同一个吗？_tps币圈

据慢雾AML团队分析统计，THORChain三次攻击真实损失如下：

2021年6月29日，THORChain遭“假充值”攻击，损失近35万美元；

2021年7月16日，THORChain二次遭“假充值”攻击，损失近800万美元；

2021年7月23日，THORChain再三遭攻击，损失近800万美元。

这不禁让人有了思考：三次攻击的时间如此相近、攻击手法如此相似，背后作案的人会是同一个吗？

慢雾AML团队利用旗下MistTrack反追踪系统对三次攻击进行了深入追踪分析，为大家还原整个事件的来龙去脉，对资金的流向一探究竟。

第一次攻击：“假充值”漏洞

攻击概述

本次攻击的发生是由于THORChain代码上的逻辑漏洞，即当跨链充值的ERC20代币符号为ETH时，漏洞会导致充值的代币被识别为真正的以太币ETH，进而可以成功的将假ETH兑换为其他的代币。此前慢雾安全团队也进行了分析，详见：假币的换脸戏法——技术拆解THORChain跨链系统“假充值”漏洞。

根据THORChain官方发布的复盘文章，此次攻击造成的损失为：

9352.4874282PERP

1.43974743YFI

2437.936SUSHI

10.615ETH

THORChain：当前负债低于准备金的2%，无常损失保护的工作方式与Bancor不同:6月20日消息，去中心化跨链交易协议THORChain在社交媒体回应是否也会停止ILP时表示，当前负债低于准备金的2%，且无常损失保护（Impermanent Loss Protection）的工作方式与Bancor不同，因为它保护双边存款，并且这50%以其自有资产计价。

早些时候，Bancor宣布暂停无常损失保护。[2022/6/20 4:40:36]

资金流向分析

根据官方提供的黑客地址，慢雾AML团队分析并整理出了攻击者相关的钱包地址情况如下：

经MistTrack反追踪系统分析发现，攻击者在6月21号开始筹备，使用匿名兑换平台ChangeNOW获得初始资金，然后在5天后(6月26号)部署攻击合约。

在攻击成功后，多个获利地址都把攻击获得的ETH转到混币平台TornadoCash以便躲避追踪，未混币的资金主要是留存在钱包地址(0xace...d75)和(0x06b...2fa)上。

慢雾AML团队统计攻击者获利地址上的资金发现，官方的统计遗漏了部分损失：

29777.378146USDT

78.14165727ALCX

11.75154045ETH

0.59654637YFI

第二次攻击：取值错误导致的“假充值”漏洞

Marathon Digital将与Compute North的托管协议扩展到超10万比特币矿机:金色财经报道，根据周三的一份声明，Compute North和Marathon Digital将其托管协议扩展到全美超过10万台比特币矿机。这些装置将主要由风能和太阳能供电。两家公司此前在5月份的协议中托管了73,000台矿机。Marathon首席执行官Fred Thiel表示，该协议将使Marathon的挖矿业务“成为北美最大的挖矿业务”，还将成为最高效、最环保的挖矿业务之一。[2021/12/2 12:44:56]

攻击概述

根据分析发现，攻击者在攻击合约中调用了THORChainRouter合约的deposit方法，传递的amount参数是0。然后攻击者地址发起了一笔调用攻击合约的交易，设置交易的value(msg.value)不为0，由于THORChain代码上的缺陷，在获取用户充值金额时，使用交易里的msg.value值覆盖了正确的Depositevent中的amount值，导致了“空手套白狼”的结果。

根据THORChain官方发布的复盘文章，此次攻击造成的损失为：

2500ETH

57975.33SUSHI

8.7365YFI

171912.96DODO

514.519ALCX

1167216.739KYL

波场TRON 2021全球DeFi Hackathon开发者千万美金大航海计划正式起航:据官方最新消息，波场TRON 2021全球Defi Hackathon开发者千万美金大赛已经于今日正式开始，本次开发者大赛计划是”波场DeFi创业者生态联盟1.2亿美金扶持计划”的一部分，以此来鼓励更多创业者与开发团队参与到TRON DeFi的生态建设当中。大赛总奖池1000万美金，

除了奖金之外，还有5万美金的开发者孙哥鼓励基金，只要报名参赛并且项目符合评审标准（最终评审获得80分以上）即可领取。参赛方向可以为：Lending、DEX、Payment、协议接口类、 Infrastructure、 Analysis&Visualization、Stablecoin、Insurance、NFT、算力挖矿Mining类。以后，波场TRON 全球Defi Hackathon开发者千万美金赏金大赛将作为一年一度的开发者聚会，每年都持续举办，以持续激励社区创业激情。报名阶段为2月5日—2月28日，报名方式详情点击原文链接。[2021/2/3 18:49:18]

13.30AAVE

资金流向分析

慢雾AML团队分析发现，攻击者相关的钱包地址情况如下：

MistTrack反追踪系统分析发现，攻击者地址(0x4b7...c5a)给攻击者地址(0x3a1...031)提供了初始资金，而攻击者地址(0x4b7...c5a)的初始资金来自于混币平台TornadoCash转出的10ETH。

Sigma?Prime发布以太坊2.0客户端Lighthouse v1.0.4版本:据官方消息，以太坊2.0客户端Lighthouse开发团队Sigma?Prime 发布Lighthouse v1.0.4版本。该版本包括许多稳定性和性能改进，建议所有用户更新到此版本，以提高稳定性。[2020/12/14 15:06:51]

在攻击成功后，相关地址都把攻击获得的币转到地址(0xace...70e)。

该获利地址(0xace...70e)只有一笔转出记录：通过TornadoCash转出10ETH。

慢雾AML团队统计攻击者获利地址上的资金发现，官方的统计遗漏了部分损失：

2246.6SUSHI

13318.35DODO

110108KYL

243.929USDT

259237.77HEGIC

第三次攻击：退款逻辑漏洞

攻击概述

本次攻击跟第二次攻击一样，攻击者部署了一个攻击合约，作为自己的router，在攻击合约里调用THORChainRouter合约。

但不同的是，攻击者这次利用的是THORChainRouter合约中关于退款的逻辑缺陷，攻击者调用returnVaultAssets函数并发送很少的ETH，同时把攻击合约设置为asgard。然后THORChainRouter合约把ETH发送到asgard时，asgard也就是攻击合约触发一个deposit事件，攻击者随意构造asset和amount，同时构造一个不符合要求的memo，使THORChain节点程序无法处理，然后按照程序设计就会进入到退款逻辑。

VTHO上线MXC抹茶，现报0.00084 USDT:今日19:00，VTHO上线MXC抹茶，开放USDT、ETH交易。据MXC抹茶行情数据显示，VTHO/USDT开盘价为0.0004 USDT，最高价为0.001 USDT，最高涨幅150%，现报0.00084 USDT。

据VTHO官方资料，雷神之能（VTHO）作为在唯链雷神区块链上执行转账和智能合约交易的费用，由 VET 随时间推移而生成。VTHO会随着VET每个新区块的生成而产生，发行速度恒定。因此，只要持有VET，就会在钱包中获得VTHO收益。[2020/7/8]

(截图来自viewblock.io)

有趣的是，推特网友把这次攻击交易中的memo整理出来发现，攻击者竟喊话THORChain官方，表示其发现了多个严重漏洞，可以盗取ETH/BTC/LYC/BNB/BEP20等资产。

(图片来自https://twitter.com/defixbt/status/1418338501255335937)

根据THORChain官方发布的复盘文章，此次攻击造成的损失为：

966.62ALCX

20,866,664.53XRUNE

1,672,794.010USDC

56,104SUSHI

6.91YEARN

990,137.46USDT

资金流向分析

慢雾AML团队分析发现，攻击者相关的钱包地址情况如下：

MistTrack反追踪系统分析发现，攻击者地址(0x8c1...d62)的初始资金来源是另一个攻击者地址(0xf6c...747)，而该地址(0xf6c...747)的资金来源只有一笔记录，那就是来自于TornadoCash转入的100ETH，而且时间居然是2020年12月！

在攻击成功后，攻击者将资金转到了获利地址(0x651...da1)。

总结

通过以上分析可以发现，三次攻击的初始资金均来自匿名平台(ChangeNOW、TornadoCash)，说明攻击者有一定的“反侦察”意识，而且第三次攻击的交易都是隐私交易，进一步增强了攻击者的匿名性。

从三次攻击涉及的钱包地址来看，没有出现重合的情况，无法认定是否是同一个攻击者。从资金规模上来看，从第一次攻击到第三次攻击，THORChain被盗的资金量越来越大，从14万美金到近千万美金。但三次攻击获利的大部分资金都没有被变现，而且攻击间隔时间比较短，慢雾AML团队综合各项线索，推理认为有一定的可能性是同一人所为。

截止目前，三次攻击后，攻击者资金留存地址共有余额近1300万美元。三次攻击事件后，THORChain损失资金超1600万美元！

(被盗代币价格按文章发布时价格计算)

依托慢雾BTI系统和AML系统中近两亿地址标签，慢雾MistTrack反追踪系统全面覆盖了全球主流交易所，累计服务50客户，累计追回资产超2亿美金。(详见：慢雾AML升级上线，为资产追踪再增力量)。针对THORChain攻击事件，慢雾AML团队将持续监控被盗资金的转移，拉黑攻击者控制的所有钱包地址，提醒交易所、钱包注意加强地址监控，避免相关恶意资金流入平台。

跨链系统的安全性不容忽视，慢雾科技建议项目方在进行跨链系统设计时应充分考虑不同公链不同代币的特性，充分进行“假充值”测试，必要时可联系专业安全公司进行安全审计。

参考资料

****

THORChain官方复盘文章：

https://medium.com/thorchain/eth-parsing-error-and-exploit-3b343aa6466f

https://thearchitect.notion.site/THORChain-Incident-07-15-7d205f91924e44a5b6499b6df5f6c210

https://thearchitect.notion.site/THORChain-Incident-07-22-874a06db7bf8466caf240e1823697e35__

往期回顾

科普|加密货币，你中招了吗？(下)

慢雾招募令，加入未来的安全独角兽

梅开二度——PancakeBunny被黑分析

科普|加密货币，你中招了吗？(上)

假币的换脸戏法——技术拆解THORChain跨链系统“假充值”漏洞

慢雾导航

慢雾科技官网

https://www.slowmist.com/

慢雾区官网

https://slowmist.io/

慢雾GitHub

https://github.com/slowmist

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

币乎

https://bihu.com/people/586104

知识星球

https://t.zsxq.com/Q3zNvvF

火星号

http://t.cn/AiRkv4Gz

链闻号

https://www.chainnews.com/u/958260692213.htm

免责声明：作为区块链信息平台，本站所发布文章仅代表作者个人观点，与链闻ChainNews立场无关。文章内的信息、意见等均仅供参考，并非作为或被视为实际投资建议。

本文来源于非小号媒体平台：

慢雾科技

现已在非小号资讯平台发布68篇作品，

非小号开放平台欢迎币圈作者入驻

入驻指南：

/apply_guide/

本文网址：

/news/10216164.html

免责声明：

1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险

2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场

上一篇：

小冯：以太坊再战1700有望企稳黄金注意日线反弹信号

标签：RCHTHORHTTTPSARCHAI价格THOR价格htt币价格tps币圈

XLM热门资讯