CertiK: 8,000万人民元が消失、Compounder.finance内部操作攻撃の分析

BTC0.0₂₀

ETH0.0₂₀

HTX0.0₂₀

SOL0.0₂₀

BNB0.0₂₀

BTC0.0₂₀

ETH0.0₂₀

HTX0.0₂₀

SOL0.0₂₀

BNB0.0₂₀

CertiK: 8,000万人民元が消失、Compounder.finance内部操作攻撃の分析

CertiK

2020-12-02 03:03

本文约2409字，阅读全文需要约10分钟

北京時間 12 月 1 日午後 3 時、CertiK セキュリティテクノロジーチームは Compounder.Finance プロジェクトで複数の高額トランザクションを発見しました。内部作戦攻撃事件です。

8000万人民元という大事件というと、『人民の名において』の人民元を思い出しますか？

日常生活の中で、うっかり財布を紛失してしまい、あまり多くのお金を失うことはないかもしれません。しかし、仮想通貨の世界は、ちょっと油断すると、その損失額が天を覆うほどになってしまう可能性があります。

果てしなく続く鉱山の穴では、ひとつのミスや省略があれば、ゲーム全体が失われてしまいます。多くの場合、プロジェクト所有者は投資家と同様に、自分のプロジェクトの安全性を懸念しています。

ただし、1 つ例外があります。

北京時間 12 月 1 日午後 3 時、CertiK セキュリティテクノロジーチームは、スカイネット経由で Compounder.Finance プロジェクトを発見しました。0x0b283b107f70d23250f882fbfe7216c38abbd7caこのアドレスのスマートコントラクトでは、いくつかの大規模なトランザクションが発生しました。

CertiK セキュリティテクノロジーチームによる検証の結果、これらのトランザクションは Compounder.Finance プロジェクトオーナーの内部操作であり、大量のトークンを自分のアカウントに転送したことが判明しました。

統計によると、Compounder.Finance は最終的に約 8,000 万人民元相当のトークンを失いました。

攻撃イベントは次のとおりです。

図 1: inCaseTokenGetStuck() 関数

Compounder.Finance プロジェクトの所有者は、0x0b283b107f70d23250f882fbfe7216c38abbd7cainCaseTokenGetStuck() 関数は、トークンを独自の指定アドレスに転送します。

この関数を呼び出すと、まず外部関数の呼び出し元がストラテジストであるかガバナンスロールのアドレスであるかを 1471 行目でチェックします。0x0b283b107f70d23250f882fbfe7216c38abbd7caスマートコントラクトのストラテジストロールのアドレスが Compounder.Finance プロジェクトオーナーのアドレスと一致していることが判明しました。