CertiK: 8천만 위안 소실, Compounder.finance 내부 운영 공격 분석

BTC0.0₂₀

ETH0.0₂₀

HTX0.0₂₀

SOL0.0₂₀

BNB0.0₂₀

BTC0.0₂₀

ETH0.0₂₀

HTX0.0₂₀

SOL0.0₂₀

BNB0.0₂₀

CertiK: 8천만 위안 소실, Compounder.finance 내부 운영 공격 분석

CertiK

2020-12-02 03:03

本文约2409字，阅读全文需要约10分钟

베이징 시간으로 12월 1일 오후 3시에 CertiK 보안 기술 팀은 Compounder.Finance 프로젝트에서 여러 건의 대규모 트랜잭션을 발견했습니다. 내부 작전 공격 사건입니다.

8000만 RMB의 큰 사건이 "인민의 이름으로"의 RMB를 생각나게 합니까?

일상 생활에서 실수로 지갑을 잃어버렸을 수도 있고 너무 많은 돈을 잃을 수도 있습니다. 하지만 암호화폐의 세계에서는 조금만 방심하면 손실액은 하늘을 가리기 위해 버리는 효과일 수도 있다.

끝없는 광산 구덩이에서 하나의 실수나 누락이 발생하면 전체 게임이 손실됩니다. 종종 투자자와 같은 프로젝트 소유자는 자신의 프로젝트의 안전에 대해 우려합니다.

하지만 예외가 하나 있습니다.....

베이징 시간으로 12월 1일 오후 3시에 CertiK 보안 기술 팀은 Skynet을 통해 Compounder.Finance 프로젝트를 발견했습니다.0x0b283b107f70d23250f882fbfe7216c38abbd7ca해당 주소의 스마트 컨트랙트에서 여러 건의 거액 거래가 발생했습니다.

CertiK 보안 기술 팀의 확인 결과 이러한 거래는 Compounder.Finance 프로젝트 소유자의 내부 작업으로 대량의 토큰을 자신의 계정으로 이체한 것으로 밝혀졌습니다.

통계에 따르면 Compounder.Finance는 결국 약 8천만 위안 상당의 토큰을 잃었습니다.

공격 이벤트는 다음과 같습니다.

그림 1: inCaseTokenGetStuck() 함수

Compounder.Finance 프로젝트의 소유자는 다음 위치에 있습니다.0x0b283b107f70d23250f882fbfe7216c38abbd7cainCaseTokenGetStuck() 함수는 토큰을 자체 지정된 주소로 전송합니다.

이 함수를 호출할 때 1471행에서 외부 함수 호출자가 전략가인지 거버넌스 역할 주소인지 먼저 확인합니다.0x0b283b107f70d23250f882fbfe7216c38abbd7ca스마트 계약의 전략가 역할 주소는 Compounder.Finance 프로젝트 소유자의 주소와 일치하는 것으로 확인되었습니다.