Titano Finance攻击事件分析

前言

北京时间2022年2月14日晚，TitanoFinance遭到攻击，损失3200万TITANO代币。知道创宇区块链安全实验室?第一时间跟踪本次事件并分析。

分析

基础分析

攻击者地址：0xad9217e427ed9df8a89e582601a8614fd4f74563

预测市场PredictIt起诉CFTC下令关闭网站:金色财经报道，PredictIt的一些交易员和学术用户以及技术提供商已经提起诉讼，试图阻止商品期货交易委员会 (CFTC) 关闭这个受欢迎的选举投注网站。

此前报道，CFTC强制关闭预测市场PredictIt在美国地区的商店。[2022/9/15 6:59:24]

攻击者创建合约MultipleWinnersProxyFactory：0x940151f5bbbcda5b1b482592d816e96f80d6073a

Titans Ventures和Poolz设立500万美元加密投资基金:11月25日，越南区块链风投机构 Titans Ventures 和跨链 ID0 平台 Poolz 合作，设立 500 万美元投资基金，专注于元宇宙、NFT 和 GameFi 项目。该基金中的 100 万美元将于今年第 4 季度被使用，以资助项目开发和产品发布及营销，剩余 400 万美元将于 2022-2025 年使用，用于项目研究和分析，为社区提供投资机遇。[2021/11/25 7:11:04]

攻击者创建合约MultipleWinnersBuilder：0x1866207c355d4c6e0b03b4dc0bf9c658f4d13f8a

动态 | EOSTitan 推出监测 EOS/USD 实时交易对价格合约工具:据 IMEOS 报道，EOSTitan （备选节点）在 Github 上提交 Delphi Oracle 合约，旨在为其他智能合约或外部用户提供 EOS / USD 对近实时的公平价格。目前该合约已经部署到 EOS Mainnet 和 CryptoKylin testnet，两者都在账户 delphioracle上。[2018/10/30]

攻击者创建合约MultipleWinners：0x49d078d25b08f2731cbf5af8e8cdf1ea3e0a2046

官方合约StakePrizePool：0x4d7f0a96967dce1e36dd2fbb131625bbd9106442

漏洞分析

此次事件，漏洞关键在于官方StakePrizePool合约中的setPrizeStrategy方法被攻击者所利用，但该方法只有管理员才有权限进行操作。

随后攻击者将合约中的_prizeStrategy地址设置为攻击者创造的合约MultipleWinners的地址

获得权限后，攻击者使用MultipleWinners合约中的_awardTickets方法铸造了3200万TicketTitano代币到攻击者地址

攻击者获取代币后，将代币进行转换，最终通过PancakeSwap将其转换为BNB，随后分散资金到各个地址

总结

本次攻击事件核心原因在于官方StakePrizePool合约中的仅管理员调用方法被恶意利用，成因或许是项目方管理地址泄露，也可能是掌握管理员私钥的人监守自盗。

近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。

标签：TITTITAITATANblockidentitytokentitan币价格TITANIA币MustangToken

Coinw热门资讯