Brahma TopGear慘遭攻擊 竟是因為囫圇吞棗不夠用戶死活的函數授權問題

前言

2022年11月10日，知道創宇區塊鏈安全實驗室監測到ETH 鏈上的 brahTOPG 項目遭到攻擊。黑客經過研究發現該項目存在任意外部調用的漏洞，原因是該項目的Zapper合約未對用戶傳入的數據進行嚴格檢查，因此攻擊者利用此漏洞竊取對合約有授權用戶的代幣，從中獲利約9萬美元。

事件分析

通過分析攻擊的Txn

0xeaef2831d4d6bca04e4e9035613be637ae3b0034977673c1c2f10903926f29c0：

攻擊者查看了0x392472c4369d6cdea89e2bddfd8144eecfdc032c錢包余額，然後調用Zapper合約的zapIn() 函數：

該函數會為合約轉账 requiredToken 指定的代幣，由於該函數傳入的參數外部可控，攻擊者構造該參數為假代幣，並將假代幣轉給 Zapper 合約，接着會調用內部函數zap()：

假代幣就會進到變量 inputToken 裏，隨後檢查合約中假代幣的余額是否大於或等於傳入的值，由於IERC20(inputToken).approve()函數會外部調用假代幣合約的 approve() 函數，最後外部調用了 swapTarget() 函數，該函數的傳入參數同樣外部可以操控，導致之後攻擊者利用此任意外部調用漏洞，轉走其他有授權用戶的 USDC 代幣：

攻擊者重復以上步驟攻擊了三次，轉移了受害者账戶下約889343枚 USDC 代幣。

總結

此次被攻擊的主要原因在於Zapper合約沒有對用戶上傳數據進行嚴格檢查監控，導致了任意外部調用的問題，然後攻擊者利用此任意外部調用問題竊取了對合約有授權的用戶代幣。

合約函數權限的檢查仍是容易被忽略的，黑客恰好可以利用該問題，進行任意外部調用，從而發生安全事件。

鄭重聲明：本文版權歸原作者所有，轉載文章僅為傳播信息之目的，不構成任何投資建議，如有侵權行為，請第一時間聯絡我們修改或刪除，多謝。