一、前言
北京时间3月20日晚，知道创宇区块链安全实验室监测到以太坊上分布式跨链协议Li.Finance受到了攻击，攻击者执行了37次call注入获取了多个钱包中约60万美元的资产。此次资产损失并没有非常大，但项目方对于攻击的处理非常积极并值得学习与肯定(见后文)，目前项目方已补偿了协议损失并修复后重新部署了协议。知道创宇区块链安全实验室第一时间跟踪本次事件并分析。
二、分析
1.攻击者相关信息
攻击tx：0x4b4143cbe7f5475029cf23d6dcbb56856366d91794426f2e33819b9b1aac4e96
被攻击合约：
Bernstein：MicroStrategy持有的BTC不一定会带来集中化危险:金色财经报道，据Bernstein报告，比特币价格上涨意味着MicroStrategy的资产负债表更强大，股票价格更高，更容易偿还债务，而MicroStrategy不需要出售其持有的股票。MicroStrategy是否出售持有的BTC来偿还债务，与加密货币的表现密切相关。Bernstein周三在一份研究报告中表示，该头寸的规模不足以扭曲价格，但在下跌周期中确实会带来情绪风险。[2023/4/19 14:13:45]
0x5A9Fd7c39a6C488E715437D7b1f3C823d5596eD1--代理合约
0x73a499e043b03fc047189ab1ba72eb595ff1fc8e--逻辑合约
攻击者地址:
0xC6f2bDE06967E04caAf4bF4E43717c3342680d76--部署地址0x878099F08131a18Fab6bB0b4Cfc6B6DAe54b177E--收款地址
声音 | 亿万富翁Mark Cuban：Facebook推出Libra的举动是“非常危险”的:据The Verge消息，亿万富翁Mark Cuban近期接受采访时表示，Facebook推出加密货币Libra的举动是“非常危险”的，他对此解释称：“我根本不反对加密货币。我并不反对加密货币的分布式特性。但我认为没有中央控制的想法有点过头了，因为有太多的分叉，并且有很多变化和管理问题，总有一些外部因素迫使控制出现。但就Facebook而言，我认为其处于一个独特的位置，毕竟它在全球拥有超22亿用户。通过在全球各地拥有这些触角，他们有机会在稳定性较差的国家更具影响力。当你得到一个像Facebook这样的公司，拥有他们拥有的权力和杠杆以及财政资源时，他们的触角将会选择那些货币和政府不稳定的非洲国家，可能产生的问题甚至导致人们死亡。因此，Facebook如果只是在发达的欧美国家推出Libra，我们尚可静而待之。但是当它想要将其扩展到全球22亿用户时，意外后果将不可避免，而且最有可能的是一个负面的产出。”[2019/7/31]
2.攻击流程
动态 | 日本区块链促进协会讨论加密货币被用于暗网的危险性:区块链促进协会（BCCC）于5月28日在东京大井町举行了第17次风险管理委员会会议。此次会议的主题是虚拟货币（加密资产）被用于通过暗网的危险性以及全球应对法规。 日本信用情报服务代表理事Naoshi Kozuka表示，“暗网资金正在以极快的速度进入虚拟货币，因此虚拟货币正在被污染。”三菱综合研究所的河田雄次表示:“随着加密资产的普及，将其用在暗网结算、交易所非法流出、ICO欺诈等犯罪的情况也在增加。”据悉，虚拟货币非法交易造成的损失逐年增加，2018年约有17亿美元。河田补充称，犯罪所获收益很有可能是利用加密资产进行。（Crypto.Watch）[2019/6/7]
攻击调用流程攻击者构造payload并调用被攻击合约0x5a9fd7c3的swapAndStartBridgeTokensViaCBridge函数
丹麦央行行长拉尔斯·罗德：比特币是危险的，必须远离:丹麦最大的中央银行现在向投机者发出严厉的警告，比特币是危险的，避免购买比特币。丹麦国家银行行长拉尔斯·罗德（Lars Rohde）告诉当地广播公司DR表示，比特币是一个危险的泡沫，可以与17世纪的郁金香泡沫狂热相比。罗德宣布把钱投入比特币基本上是，警告：“你必须远离比特币，比特币非常危险。”罗德还警告说，购买比特币的人在市场崩溃时不应该责怪监管机构。他说：“这不是一个受管制的市场。这不是当局的责任。这是个人的责任。”[2017/12/18]
具体使用的Payload如下--图中选中部分即为利用授权转账部分的payload：
调用一次正常50刀的跨链桥功能
俄罗斯VTB银行首席执行官：加密货币投资非常危险:近期，几位俄罗斯金融专家对比特币及其他加密货币近几周内的走势发表了言论。Sberbank银行负责人表示：加密货币正在逐渐成为俄罗斯日常生活的一部分，而作为VTB国际组织的负责人Riccardo Orcel却表示：俄罗斯对比特币的兴趣已经被媒体夸大。Etoro分析师Mikhail Maschenko表示：随着加密货币市场变的越来越不稳定和对比特币的需求越来越大，很多专业投资者将其视为避险资产。[2017/11/28]
在payload中包括多个call方法(调实际用transferFrom)。让0x5a9fd7c3调用37个call，借此利用多个钱包对于0x5a9fd7c3合约的授权(approve)将钱包资产转账到攻击者地址：
后续执行正常的跨链桥逻辑_startBridge(_cBridgeData);。这也是为什么第一个swap是正常的，这样才能让后续逻辑正常执行下去
3.漏洞细节
导致本次问题的根本原因被攻击合约0x5a9fd7c3的逻辑合约存在一个批量让call调用传入数据的函数swapAndStartBridgeTokensViaCBridge
该合约将会取出payload中的多个_swapData数据结构并调用，LibSwap.swap(...);实现如下：
借此，攻击者利用该合约的call将各个钱包对0x5a9fd7c3合约的代码授权转走了多个钱包中的各种代币。
4.项目方进展
在事件发生后，项目方第一时间对合约可能的方法进行了停用，并为其审计和安全性问题进行致歉。
而后，项目方还联系了黑客，希望能与其取得联系并和平解决：
同时，最快的时间将漏洞合约修复后上线：
并将钱包对于之前被攻击合约的授权取消，对新的合约进行了重新授权：
最后，将用户资产进行补回：
同时我们关注到，其在polygon链上的合约也已实现了新的部署：
三、总结
此次攻击的根本原因是项目方对于swapAndStartBridgeTokensViaCBridge合约的实现过度自由化所导致的call调用注入，但项目方积极的面对问题的态度和后续补救的及时性值得学习和肯定。不贵于无过，而贵与改过。但我们仍希望能将错误扼杀在发生之前，应从他人的错误中学习并避免自己未来的错误，正如Li.Finance所说的那样：
我们的使命是最大化用户体验，现在我们痛苦地了解到，为了遵循这种精神，我们的安全措施必须大幅改进。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。