据慢雾安全团队监测，ETH链上的brahTOPG项目遭到攻击，攻击者获利约89,879美元。慢雾安全团队以简讯形式分享如下：
1.攻击者首先查询了受害用户0x392472的余额，接着调用了Zapper合约的zapIn函数。
声音 | 王永利：Libra能否成功推出依然充满悬念与挑战:中国银行原副行长王永利在经济观察网发布了有关“Libra篮子货币如何落地运行”的文章。王永利表示，必须看到，仅仅与一种货币等值挂钩，包括央行要推出法定数字货币或数字现金，其落地运行就存在很大挑战，Libra要与一篮子货币综合挂钩，听起来似乎更能增强其货币的创新性，摆脱只与单一货币等值挂钩不可避免的“代币”阴影，但其管理规则的形成与落地运行就将面临更加复杂而深刻的挑战。囿于诸多困惑，尽管Facebook宣布了Libra的篮子货币结构，并不意味着Libra就能很快推出和落地运行，其能否成功推出依然充满悬念与挑战。[2019/9/25]
2.首先函数会为合约转账requiredToken参数所指定的代币，由于该函数传入的参数是外部可控的，所以攻击者恶意构造了该参数使得requiredToken为假代币并将假代币转给Zapper合约。
声音 | 王永利：Libra很难成为超主权世界货币:今日，前中国银行副行长王永利在微信公众号发文《 Libra很难成为超主权世界货币》，文章表示，与一篮子货币挂钩的做法本身就带来更大的挑战：一是一篮子货币的构成与管理难度很大。二是其吸引力存在不确定性。三是面临很大的金融监管风险。四是难以摆脱法定货币成为真正的超主权世界货币。综上，Libra尽管与一篮子法币挂钩在一定程度上淡化了其作为法定货币的代币性质，但根本上仍然只是法定货币的代币，难以成为真正的超主权世界货币，而且这种做法还大大扩大了其设计难度与运行挑战，其真正落地运行的可能性和实际效果并不一定比只与单一法币挂钩的稳定币，或者直接使用法定货币更好。[2019/7/6]
3.接着会调用内部函数zap，在该函数中首先会检查合约中假代币的余额是否大于或等于传入的值，由于第二步的操作所以通过了该检查。
声音 | Abra首席执行：美国不能禁止比特币，因为其是言论自由:根CCN报道，加密钱包和交易所Abra的首席执行官Bill Barhydt表示，美国政府不能禁止比特币，因为最初的加密货币是受宪法保护的言论自由。Barhydt认为比特币是计算机代码，而代码是言论。根据第一修正案，言论是受宪法保护的民事权利。因此，Barhydt表示，比特币不能仅仅因为立法者害怕其可能带来的金融革命而在美国被禁止。[2019/7/4]
4.之后会外部调用假代币合约的approve函数，该函数为攻击者恶意构造，是为了给Zapper合约转账frax代币，此操作是为了通过后续合约中对frax代币余额的检查并且能成功给金库存款。
5.最后外部调用了swapTarget参数所指定的合约，并且调用所传入参数也是外部可构造的，所以攻击者利用此处任意外部调用漏洞转走了其他有授权的用户的USDC代币。
6.攻击者重复以上步骤，总共攻击了三次，转移了三个受害者账户下的USDC代币约889,343枚。
此次攻击的主要原因在于Zapper合约为对用户传入的数据进行严格检查，导致了任意外部调用的问题，攻击者利用此任意外部调用问题窃取了对合约仍有授权的用户的代币。
慢雾安全团队提醒使用过该合约的用户请迅速取消对该合约的授权以规避资产被盗的风险。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。