黑客能调用，你和我也可以？Starstream被盗1500万美元事件分析

北京时间4月8日凌晨01:43:36，CertiK安全技术团队监测到收益聚合平台Starstream因其合约中的一个执行函数漏洞被恶意利用，致使约1500万美元的资产受到损失。

黑客随后将盗取的STARS代币存入AgoraDeFi的借贷合约，并向其借入了包括Metis、WETH和m.USDC在内的多种资产。

Starstream是基于MetisLayer-2rollup的一个可提供及产生聚合收益的产品。该协议由不同的开发者维护，由STARS进行维护并治理。

凌晨04:36，另一位发言者于StarstreamDiscord社群的GeneralStarstreamDiscord聊天区中表示"ExecuteFunction"函数存在漏洞风险。

分析：BNB Chain黑客布局最早可追溯到10月6日:10月7日消息，欧科云链链上卫士团队针对此次BNB Chain被盗案发布案件分析，在通过OKLink BSC浏览器追踪BNB Chain被盗一案时，此次案件黑客最早于10月6日便使用ChangeNOW服务转入了起始攻击资金（100多枚BNB）到BSC链上，随后黑客通过调用系统RelayerHub合约0x1006进行注册，然后对系统CrossChain合约0x2000发起攻击。

据链上卫士团队分析，此次黑客对BSC跨链桥发起攻击，两次攻击累计从中盗取200万个BNB并转移至0x489A开头地址，并通过Venus的借贷服务，抵押了90万个BNB，从中借走5000万USDT、6250万BUSD和3500万USDC。随后，黑客又使用Stargate跨链桥，将约9000万美元攻击所得资金资产转移到ETH（占比58%）、Fantom（占比33%）及AVAX等网络上。最终今晨6:19分，BNB Chain官方推特宣布BNB Chain暂停运行。

此前消息，欧科云链OKLink多链浏览器已对BNB Chain黑客地址进行风险标签标记（标记为“Hack”），当前地址余额超7亿美元。[2022/10/7 18:41:51]

合约漏洞分析

攻击Ronin的黑客向中间地址转入3302.6枚以太坊，并将1400枚以太坊转入Tornado Cash:4月14日消息，攻击 Ronin 的黑客向中间地址（0x1Bf53ce80FF2ed5711b8A2DB8f7EA5b38DA118d6）转入 3302.6 枚以太坊，并将 1400 枚以太坊分 14 次转入 Tornado Cash 中。[2022/4/14 14:23:41]

没有任何的权限控制，因此可以被任何人调用。这个execute函数其实是一个底层调用，通过这个底层调用，攻击者能够以Distributorytreasury合约身份调用Starstreamtreasury合约的特权函数。

ETC Labs首席执行官：黑客能利用租用算力攻击PoW区块链是巨大问题:金色财经报道，Ethereum Classic Labs首席执行官Terry Culver表示，黑客能够利用租用的算力对工作量证明（PoW）区块链进行51%攻击，这实际上是系统中的一个巨大漏洞。据悉，使用租用的算力对ETC进行51%攻击将花费大约3800美元。[2020/9/12]

在这次攻击中，攻击者通过execute函数以Distributorytreasury的身份取走了在Starstreamtreasury中的所有STARS代币。

TornadoCash。

其他细节

https://andromeda-explorer.metis.io/tx/0xb1795ca2e77954007af14d89814c83b2d4f05d1834948f304fd9d731db875435/token-transfers

攻击者地址：

https://andromeda-explorer.metis.io/address/0xFFD90C77eaBa8c9F24580a2E0088C0C940ac9C48/transactions

攻击地址合约:https://andromeda-explorer.metis.io/address/0x75381c1F12733FFf9976525db747ef525646677d/contracts

DistributorTreasury合约:https://andromeda-explorer.metis.io/address/0x6f99b960450662d67bA7DCf78ac959dBF9050725/contracts

StarstreamTreasury合约:

https://andromeda-explorer.metis.io/address/0x1075daD8CFd8bCbCfc7bEB234e23D507990C90e9/contracts

Starstream(STARS)代币合约https://andromeda-explorer.metis.io/address/0xb26F58f0b301a077cFA779c0B0f8281C7f936Ac0/contracts

在开发过程中，应该注意函数的Visibility。如果函数中有特殊的调用或逻辑，需要确认函数是否需要相应的权限控制。

前段时间有大量的项目因publicburn()函数而被黑，其根本原因和这次攻击一样，都是由于缺乏必要的权限控制所导致。

作为区块链安全领域的领军者，CertiK致力于提高加密货币及DeFi的安全和透明等级。迄今为止，CertiK已获得了3200家企业客户的认可，保护了超过3110亿美元的数字资产免受损失。

欢迎点击CertiK公众号底部对话框，留言免费获取咨询及报价！

标签：REASTASTARSTARSread币价格STAKE价格XSTAR币STARS币

KuCoin热门资讯