UmbNetwork獎勵池攻擊事件分析_ITH

一、前言

北京時間2022年3月21日，知道創宇區塊鏈安全實驗室?監測到BSC鏈和以太坊上的UmbNetwork獎勵池遭到黑客攻擊，損失約70萬美元。實驗室第一時間對本次事件進行跟蹤并分析。

二、基礎信息

攻擊者地址：0x1751e3e1aaf1a3e7b973c889b7531f43fc59f7d0

首爾南部地方檢察廳希望對高爾夫球手安成賢和Bithumb首席執行官進行審判:金色財經報道，首爾南部地方檢察廳金融調查部希望對高爾夫球手安成賢和Bithumb Holdings首席執行官李相俊（54歲）進行審判。檢察官懷疑兩人可能在交易所上架代幣以換取賄賂。

今年早些時候，檢察官首次提出逮捕安的請求。Ahn被認為是商人Kang Jong-hyun的密友，Kang Jong-hyun據稱是Bithumb的多數“所有者”。自四月以來，檢察官一直試圖獲得對安的逮捕令。

與此同時，Kang Jong-hyun目前因涉嫌操縱股票和加密資產價格而受到起訴。他還面臨貪污罪的指控。安成賢和李相俊現將于9月1日下午在首爾南部地方法院的一個分院面臨逮捕令審查聽證會。[2023/8/31 13:08:28]

攻擊合約：0x89767960b76b009416bc7ff4a4b79051eed0a9ee

近7億枚XRP從未知地址轉入Bithumb交易所 價值約4.02億美元:Whale Alert監測數據顯示，北京時間12月10日10:00、10:02及10:06，接近7億枚XRP分三筆從rhRNxo開頭的未知地址轉入Bithumb交易所錢包地址，價值約4.02億美元。[2020/12/10 14:46:41]

StakingRewards合約:0xB3FB1D01B07A706736Ca175f827e4F56021b85dE

動態 | Bithumb關閉存取款業務 致平臺內幣價上漲:據CCN報道，Bithumb自6月20日被黑客盜取4000萬美元資產后，關閉了存取款業務，只允許Bithumb平臺上的現有用戶交易數字貨幣。而這一舉動導致了對Bithumb平臺內數字貨幣的溢價大幅上升，影響了當地市場和全球加密貨幣交換市場。[2018/7/29]

以太坊交易哈希：0x33479bcfbc792aa0f8103ab0d7a3784788b5b0e1467c81ffbed1b7682660b4fa

BSC交易哈希：0x784b68dc7d06ee181f3127d5eb5331850b5e690cc63dd099cd7b8dc863204bf6

三、漏洞分析

此次事件，漏洞關鍵在于UmbNetwork獎勵池的StakingRewards合約中的?_balance?函數出現溢出漏洞，合約未校驗檢查?balance?的值，攻擊者通過?amount?發起下溢攻擊，抽空了池子中的代幣。

從合約代碼我們可以看出，合約未正確使用SafeMath安全庫且未作溢出檢查，導致此次攻擊發生。

四、攻擊流程

攻擊者從BSC鏈發起攻擊獲取156枚pancake-LP代幣:

攻擊者在以太坊上發起攻擊獲取8792枚UNI-V2代幣:

隨后攻擊者分別將代幣轉分別換成ETH、UMB和BNB，獲利約70萬美元。

五、分析

本次攻擊事件核心是由于合約未正確使用SafeMath庫并且未對合約進行溢出檢查導致合約出現溢出漏洞，而導致了此次事件的發生，建議項目方多加注意檢查合約是否正確使用各類安全庫。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：UMBBITHUMITHUMBR價格bitkeep里面沒錢怎么充值BithumbFaith Tribe

區塊鏈