注意安全风险
作者:Beosin
原用标题:损失约 1000 万美元,Beosin Trace 对 LI.FI 事件进行追踪分析
封面:Photo by Nicolas Arnold on Unsplash
2024 年 7 月 16 日,据 Beosin Alert 监控预警发现跨链协议 LI.FI 遭受攻击,攻击者利用项目合约中存在的 call 注入漏洞,盗取授权给合约的用户资产。Beosin 对本次事件第一时间进行了分析。
![](https://web3caff.com/wp-content/uploads/2024/07/image-260.png)
详细攻击步骤:
攻击者地址:
0x8B3Cb6Bf982798fba233Bca56749e22EEc42DcF3
被攻击合约:
0x1231DEB6f5749EF6cE6943a275A1D3E7486F4EaE
(1) 攻击者部署合约 0x588E7e8E522eD4Dd8DaD263bD72208B099250114,以此来充当伪造的资产合约,为后续攻击做下准备。
(2) 发动攻击,直接调用 LI.FI 主合约的 depositToGasZipERC20 函数。因为 LI.FI 是 Diamond 模式,它会 delegatecall 到 GasZipFacet 合约上的 depositToGasZipERC20 函数。
(3) 在 GasZipFacet 合约上的 depositToGasZipERC20 函数中,call 调用的地址和参数均是可以被攻击者指定,所有攻击者指定了 callTo 地址为 USDT 和 USDC 等资产,而 call 的 data 被指定为调用 transferFrom 函数,此次就可以将授权给合约账户的资产转移出去。
![](https://web3caff.com/wp-content/uploads/2024/07/image-259.png)
漏洞原因:
LI.FI 项目合约存在一个 depositToGasZipERC20 函数,可将指定代币兑换为平台币并存入 GasZip 合约,但是在兑换逻辑处的代码未对 call 调用的数据进行限制,导致攻击者可利用此函数进行 call 注入攻击,提取走给合约授权用户的资产。
本次事件除了 call 注入的合约漏洞外,还有一点值得注意,那就是 Diamond 模式下,Facet 合约的配置问题。进一步分析发现,GasZipFacet 合约是在 5 天前部署,并在十多个小时前,由项目的多签管理员在 LI.FI 主合约进行注册的。
所以,通过这次事件可以发现,对于 Diamond 这类可升级模式,新增功能合约的安全性也需要得到高度重视。
Beosin Trace 对被盗资金进行追踪发现,损失金额包括 633.59 万 USDT、319.19 万 USDC、16.95 万 DAI,约 1000 万美元。攻击发生在 ETH 以及 Arbitrum 这两条链上,目前大部分资金转为 ETH 暂无新的动向,Beosin 已将黑客相关地址加入黑地址库,后续将持续保持追踪关注。
![](https://web3caff.com/wp-content/uploads/2024/07/image-258.png)
7 月 16 日,LI.FI 发文称又发现了 4 个安全漏洞,所有与 LI.FI 协议交互的用户资金现在都处于危险之中,敦促所有用户立即撤销权限。
以下是目前 Beosin 整理的一部分被盗用户信息,请用户查阅账户安全性,Revoke.cash 已经发布了漏洞检查工具,用户可以快速检查自己(的地址)是否受到影响。目前已知主要受影响的是以太坊网络,其他链上的部分合约也存在类似问题。
![](https://web3caff.com/wp-content/uploads/2024/07/image-257.png)
免责声明:作为区块链信息平台,本站所发布文章仅代表作者及嘉宾个人观点,与 Web3Caff 立场无关。文章内的信息仅供参考,均不构成任何投资建议及要约,并请您遵守所在国家或地区的相关法律法规。