注意安全風險
作者: Beosin
原用標題:損失約 1000 萬美元,Beosin Trace 對 LI.FI 事件進行追蹤分析
封面: Photo by Nicolas Arnold on Unsplash
2024 年 7 月 16 日,根據 Beosin Alert 監控預警發現跨鏈協定 LI.FI 遭受攻擊,攻擊者利用專案合約中存在的 call 注入漏洞,盜取授權給合約的使用者資產。 Beosin 對本次事件第一時間進行了分析。
![](https://web3caff.com/wp-content/uploads/2024/07/image-260.png)
詳細攻擊步驟:
攻擊者地址:
0x8B3Cb6Bf982798fba233Bca56749e22EEc42DcF3
被攻擊合約:
0x1231DEB6f5749EF6cE6943a275A1D3E7486F4EaE
(1) 攻擊者部署合約 0x588E7e8E522eD4Dd8DaD263bD72208B099250114,以此作為偽造的資產合約,為後續攻擊做下準備。
(2) 發動攻擊,直接呼叫 LI.FI 主合約的 depositToGasZipERC20 函數。因為 LI.FI 是 Diamond 模式,它會 delegatecall 到 GasZipFacet 合約上的 depositToGasZipERC20 函數。
(3) 在 GasZipFacet 合約上的 depositToGasZipERC20 函數中,call 呼叫的位址和參數都是可以被攻擊者指定,所有攻擊者指定了 callTo 位址為 USDT 和 USDC 等資產,而 call 的 data 被指定為呼叫 transferFrom 函數,此次就可以將授權給合約帳戶的資產轉移出去。
![](https://web3caff.com/wp-content/uploads/2024/07/image-259.png)
漏洞原因:
LI.FI 專案合約存在 depositToGasZipERC20 函數,可將指定代幣兌換為平台幣並存入 GasZip 合約,但是在兌換邏輯處的程式碼未對 call 呼叫的資料進行限制,導致攻擊者可利用此函數進行 call 注入攻擊,提取走給合約授權使用者的資產。
這次事件除了 call 注入的合約漏洞外,還有一點值得注意,那就是 Diamond 模式下,Facet 合約的配置問題。進一步分析發現,GasZipFacet 合約是在 5 天前部署,並在十幾個小時前,由專案的多簽管理員在 LI.FI 主合約註冊的。
所以,透過這次事件可以發現,對於 Diamond 這類可升級模式,新增功能合約的安全性也需要高度重視。
Beosin Trace 對被盜資金進行追蹤發現,損失金額包括 633.59 萬 USDT、319.19 萬 USDC、16.95 萬 DAI,約 1000 萬美元。攻擊發生在 ETH 以及 Arbitrum 這兩條鏈上,目前大部分資金轉為 ETH 暫無新的動向,Beosin 已將駭客相關地址加入黑地址庫,後續將持續保持追蹤關注。
![](https://web3caff.com/wp-content/uploads/2024/07/image-258.png)
7 月 16 日,LI.FI 發文表示又發現了 4 個安全漏洞,所有與 LI.FI 協議互動的用戶資金現在都處於危險之中,敦促所有用戶立即撤銷權限。
以下是目前 Beosin 整理的一部分被盜用戶信息,請用戶查閱帳戶安全性,Revoke.cash 已經發布了漏洞檢查工具,用戶可以快速檢查自己(的地址)是否受到影響。目前已知主要受影響的是以太坊網絡,其他鏈上的部分合約也有類似問題。
![](https://web3caff.com/wp-content/uploads/2024/07/image-257.png)
免責聲明:作為區塊鏈資訊平台,本站所發布文章僅代表作者及來賓個人觀點,與 Web3Caff 立場無關。文章內的資訊僅供參考,均不構成任何投資建議及要約,並請您遵守所在國家或地區的相關法律法規。