Crosswise攻击事件分析：“一两拨千金”-ODAILY

前言

2022年1月18日，知道创宇区块链安全实验室监测到BSC上Crosswise遭遇攻击,此次攻击导致协议损失87.9万美元。

攻击者仅用1个CRSStoken便获取CrosswiseMasterChef池中价值87.9万美元的692K个CRSS。实验室将对本次事件深入跟踪并进行分析。

基础信息

攻击交易哈希：

0xd02e444d0ef7ff063e3c2cecceba67eae832acf3f9cf817733af9139145f479b

攻击者地址：

0x748346113B6d61870Aa0961C6D3FB38742fc5089

攻击合约：

0x530B338261F8686e49403D1b5264E7a1E169F06b

MasterChef：

加密货币交易所CrossTower与大宗经纪公司Bequant签署收购协议:金色财经报道，加密货币交易所CrossTower宣布已签署协议，收购大宗经纪业务和数字资产交易所Bequant，交易条款没有披露。据新闻稿称，此次收购将使CrossTower能够在全球范围内扩张并增加600多个交易所客户，Bequant创始人兼首席执行官George Zarya表示，“市场需要为下一阶段的成熟进行整合。毫无疑问，随着更严格的监管和更大的资产负债表，市场将继续增长和发展，并将重新赢得投资者的信任”。

CrossTower于2020年5月推出，旨在迎合机构投资者的需求。它获得了由技术投资者和Mangrove Capital联合创始人Gerard Lopez牵头的600万美元种子轮融资，除了收购公告，CrossTower还推出了由Lydian Group支持的新加密ESG基金。[2022/11/30 21:11:19]

0x70873211CB64c1D4EC027Ea63A399A7d07c4085B

NFT策略游戏MicroBuddies已集成Chainlink VRF:8月31日消息，据官方消息，NFT策略游戏MicroBuddies已在Polygon网络上集成Chainlink VRF，该集成将帮助MicroBuddies以可验证的随机方式生成NFT特征，证明其提供的随机数没有被篡改。[2022/8/31 12:59:12]

CrosswiseRouter：

0x8B6e0Aa1E9363765Ea106fa42Fc665C691443b63

CRSS：

0x99FEFBC5cA74cc740395D65D384EDD52Cb3088Bb

攻击核心

此次攻击的核心在于，Crosswise中的MasterChef合约Owner地址设置即transferOwnership函数能够被攻击者绕过，使得攻击者能够成为新的Owner并对MasterChef池子进行攻击利用。我们将本次攻击过程分为两个阶段进行分析：获取Owner权限攻击和MasterChef池攻击。

MicroStrategyCEO：比特币是世界上最稀缺的资产，它是数字黄金:2月9日，美国上市商业软件巨头MicroStrategyCEOMichaelSaylor表示，世界上最稀缺的资产是比特币，它是数字黄金。此外，Saylor还表示，黄金将在重新配置中输给比特币，如果人们购买黄金而非比特币，将损失20亿美元。

他认为，一旦人们开始思考他们想要的是一种非去中心化的资产储藏方式，他们就会意识到比特币比黄金更好，届时，所有的机构资金都会从黄金流向比特币。据一份2月份发布的文件显示，MicroStrategy持有约71,079枚比特币。按照周一的价格，这些比特币价值约为32亿美元。[2021/2/9 19:20:37]

获取Owner权限攻击

1.由于在MasterChef合约中setTrustedForwarder函数为公开可见性且未作权限设置，攻击者先将自己的地址设置为TrustedForwarde地址。

MicroStrategy再度购买5000万美元比特币:上市商业情报公司MicroStrategy首席执行官Michael Saylor今日在推特上表示，该公司购买了5000万美元的比特币。他在推特上写道:“MicroStrategy已经以5000万美元购买了大约2574枚比特币，平均价格约为每枚比特币19427美元。我们现在大约持有40824枚比特币。”[2020/12/5 14:04:22]

2.Crosswisefi项目方对MasterChef的_msgSender()函数并未采取openzepplin的标准写法且存在漏洞，导致攻击者能够通过构造恶意的calldata实现绕过onlyOwner限制完成合约Owner的获取。

Cocos-BCX 生态 DeFi+NFT 项目 CROSWAP 已通过知道创宇安全审计:据官方消息，9月26日，Cocos-BCX 生态首个 DeFi+NFT 项目 CROSWAP 智能合约通过知道创宇安全审计，安全状态为五星安全。

CROSWAP 是 Cocos-BCX 生态投资的首款 DeFi+NFT 的去中心化 AMM 代币兑换协议 ，于9月22日上线，CROSWAP.COM 首创 LP NFT 分解合成模式。用户获得的 LP Token 将从 FT 升级为基于 COCOS-1808 非同质数字资产标准的 LP NFT，LP NFT 支持分解与合成，更可与 DApp 产生联动，赋予 DeFi 与 NFT 更多使用场景与想象空间。

知道创宇创立于2007年，并于2015年获得腾讯大范围战略投资，拥有近百位国内一线安全人才，比特大陆、火币网等皆是知道创宇的客户。[2020/9/28]

下图为攻击者绕过onlyOwner权限构造的恶意payload:

MasterChef池攻击

1.攻击者在CrosswiseRouter中用0.01个WBNB兑换出3.71个CRSS

2.攻击者调用deposit将1个CRSS质押到CrosswiseMasterChef

3.由于上一阶段攻击者已经获取到MasterChef的Owner权限，此时攻击者调用set函数对MasterChef的pid为0的池子重新部署了一个未开源的策略合约:0xccddce9f0e241a5ea0e76465c59e9f0c41727003

4.攻击者调用MasterChef的withdraw函数从池子中获取692K的CRSS

5.最后攻击者把692K的CRSS通过CrosswiseRouter合约swap兑换出547个BNB完成攻击,获利超87.9万美元。

策略合约

猜想

由于攻击者部署的策略合约并未开源，我们只能反向推导猜想策略合约的主要逻辑：

1.根据下图第18行代码可以推断出合约中lockedAmount应该是一个极大值才能支撑攻击者692k的代币转出；又根据第7-11行可以推导出攻击者部署的strategy合约的LockeTotal()函数返回值极大、sharesTotal()返回值极小。

2.在上图代码23行当_amount>0时，会先计算出user的shareRemoved，然后在执行user.amount=user.amount.sub(shareRemoved);，此时若shareRemoved大于user.amount则代码执行不会通过，可以推导出26行的shareRemoved值很小，又shareRemoved是调用攻击者部署strategy合约中withdraw获取，所以此时的strategy合约中withdraw的返回值会很小，小于之前质押的1个CRSS数量；再结合链上数据可推导攻击者部署strategy合约中的withdraw调用返回值为0。

反编译

为了证实我们的猜想是否正确，我们将攻击者部署的策略合约进行反编译。

反编译后我们可以发现存在一个极大值和一个较小值的常量，即对应猜想1中LockeTotal和sharesTotal值，猜想1正确。

对于猜想2,经过反编译后我们可以看到策略合约的withdraw最后的返回值为0，猜想2正确

总结

这次攻击产生的主要原因是项目方使用错误的方法去获取msgSender，导致合约的Owner权限更改能被绕过。知道创宇区块链安全实验室在此提醒，任何有关合约权限问题的操作都需要慎重考虑，合约审计、风控措施、应急计划等都有必要切实落实。

标签：CROCROSROSTERCronaSwapCrossPadCROS Tokenbiteternity

SHIB热门资讯