Furucombo此次事故并不在安全漏洞的范畴内，主要的原因在于官方将未启用的AaveV2Proxy合约添加进了自己的白名单中，并且未对AaveV2Proxy合约进行初始化，导致攻击者有机可乘。与Furucombo交互过的用户应及时撤销相关授权，避免进一步损失。
原文标题：《可避天灾，难免人祸——Furucombo被黑分析》撰文:慢雾安全团队
据链闻消息，著名DeFi项目Furucombo被黑，损失约1500万美元。慢雾安全团队第一时间介入分析，并将攻击细节分享给大家。
攻击细节分析
本次发生问题的合约在Furucombo本身的代理合约当中。整个攻击流程很简单。攻击者通过设置了Furucombo的AaveV2Proxy的逻辑地址导致后续通过Furucombo代理合约调用的逻辑全部转发到攻击者自己的恶意合约上，导致任意资金被盗。
日漫生成艺术NFT项目Karafuru交易总额突破1亿美元:金色财经报道，据最新数据显示，日漫生成艺术NFT项目Karafuru交易总额突破1亿美元，本文撰写时为 110,852,629 美元，市值达到 4054 万美元，交易总量为12,290 笔。当前 Karafuru 地板价为 2.8 ETH，24 小时上涨 22.53%。Karafuru 由印度尼西亚插画家 Wede (wd.willy)? 创作，该 NFT 项目基于日本动漫文化，拥有 5,555 种色彩至上的生成艺术，拥有超过 1000 种特征组合和 12 个角色库，使每个 NFT 看起来独一无二。[2022/3/6 13:40:33]
但是如果事情那么简单，那么本次分析不值一提。问题远比想象的复杂得多。
如上图所示攻击者的入口在Furucombo的batchExec函数，我们先对batchExec函数进行分析：
ConsenSys工具Infura及Truffle支持Polygon:金色财经报道，根据周三的公告，ConsenSys的Infura和Truffle工具添加了对以太坊扩容项目Polygon（以前称为Matic）的支持。开发人员可以像在云平台上一样轻松地在Polygon的网络上编程和运行Dapp。Infura使开发人员可以通过API连接到以太坊，而无需运行完整的节点。同时，Truffle引入了可帮助开发人员构建和部署其Dapp的工具。[2021/5/13 21:55:43]
以上是FurucomboProxy合约的batchExec函数的具体实现，其中_preProcess和_postProcess合约分别是对调用前后做一些数据上的处理，不涉及具体的调用逻辑，这边可以先忽略。我们主要观察核心的_execs函数：
声音 | Bitfury副董事长：成为区块链独角兽企业要具有坚持和诚实精神:首尔经济2月4日消息，比特币矿业巨头Bitfury副董事长George Kikvadze在接受记者表示时表示，要成为区块链独角兽企业要具有坚持和诚实精神，另外要有绝不害怕失败的姿态，不管如何要以灵活的姿态应对才能成长。此外，他还表示，区块链商用化时机也将到来。(尽管还没有实现区块链商用化)目前机构投资者的参与正在增加，从这一点来看，今后加密市场一定会进一步增长。”[2019/2/4]
通过对execs代码的分析不难发现，函数的主要逻辑是对configs数组的数据做检查，并根据configs数组的数据对data进行一些处理。但是回顾上文中攻击者的调用数据，不难发现攻击者的调用数据中，configs的数据是一个0地址：
动态 | 区块链技术公司Bitfury发布比特币闪电网络支付工具:据coindesk消息，区块链技术公司Bitfury发布了一套用于比特币闪电网络支付的工具。虽然该网络仍在开发中，但Bitfury今日宣布了一个全面的产品清单以支持该技术，包括开源闪电钱包和商家接受付款的支付处理器。它还发布了一个名为“The Peach”的公共闪电网络节点，让比特币用户打开或创建支付渠道。[2019/1/23]
这里有一个trick，由于0地址是一个EOA地址，所有对EOA地址的函数调用都会成功，但是不会返回任何结果。结合这个trick，execs函数中的关于configs数据的部分可以先暂时忽略。直接看到最后的核心_exec函数：
_exec函数的逻辑也很简单，在校验了_to地址后，直接就将data转发到指定的_to地址上了。而通过对攻击交易的分析，我们能发现这个_to地址确实是官方指定的合法地址。
最后一步，便是调用_to地址，也就是官方指定的AaveV2Proxy合约的initialize函数，将攻击者自己的恶意地址设置成AaveV2Proxy合约的逻辑地址。通过对Furucombo合约的分析，可以发现整个调用流程上没有出现严重的安全点，对调用的地址也进行了白名单的检查。那么问题只能是出在了对应要调用的代理逻辑上，也就是AaveV2Proxy合约。
我们直接分析AaveV2Proxy合约的initialize函数的逻辑：
可以看到initialize函数是一个public函数，并在开头就检查了_implementation是否是0地址，如果是0地址，则抛出错误。这个检查的目的其实就是检查了_implementation是否被设置了，如果被设置了，就无法再次设置。根据这个设置，不难想出initialize这个函数只能调用一次。除非AaveV2Proxy从来没有设置过_implementation，否则这个调用是不会成功的。难道Furucombo真的没有设置过对应的_implementation吗？带着这样的疑问，我们检查了交易内的状态变化。如下：
可以看到，交易中改变了存储位置为0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc的内容，而写入的内容正是攻击者自己的恶意合约地址0x86765dde9304bea32f65330d266155c4fa0c4f04。
而0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc这个位置，正是_implementation数据的存储地址。
也就是说，官方从来没有设置过AaveV2Proxy合约的_implementation地址，导致攻击者钻了这个空子，造成了Furucombo资产损失。
总结
通过对整个事件的分析来看，Furucombo此次事故并不在安全漏洞的范畴内，主要的原因在于官方将未启用的AaveV2Proxy合约添加进了自己的白名单中，并且未对AaveV2Proxy合约进行初始化，导致攻击者有机可乘。
建议
目前，由于Furucombo遭受攻击，导致任何将代币授权过给Furucombo合约(0x17e8ca1b4798b97602895f63206afcd1fc90ca5f)的用户都将面临资金损失的风险。
慢雾安全团队建议与Furucombo交互过的用户检查是否有将相关代币授权给Furucombo合约。如有授权，应及时撤销相关授权，避免进一步损失。
来源链接：mp.weixin.qq.com
免责声明：作为区块链信息平台，本站所发布文章仅代表作者个人观点，与链闻ChainNews立场无关。文章内的信息、意见等均仅供参考，并非作为或被视为实际投资建议。
FURUCOMBO
FURUCOMBO
FURUCOMBO旨在节省操作步骤与手续费，无限DeFi组合。在不知道如何编程的情况下，将自己的DeFi投资组合进行集成。将所有策略整合到一个交易中，拖动多维数据集以重新排列操作顺序。Furucombo查看更多
亲爱的用户：币安流动性挖矿将于2021年02月27日上午08:00调整手续费至0点击立即下载iPhone或Android版APP币安社群微博：https://weibo.
1900/1/1 0:00:00一、观点 抄底！抄底！抄底！ 今天,不得不郑重地再次声明2月22日提出的观点：比特币的阶段底部位于40829附近.
1900/1/1 0:00:00Coinbase现在已经计划在纳斯达克通过直接挂牌的方式进行上市。它的招股说明书S1现在已经公开。我们可以通过这个招股说明书看Coinbase在过去几年的发展,并由此并由此判断加密数字资产行业发展的趋势.
1900/1/1 0:00:00位于美国的全球最大加密货币交易所Coinbase披露了即将在纳斯达克股市上市的详细计划。Coinbase向美国证券交易委员会(SEC)提交了一份S-1报告概述了关于收入和股权结构的关键信息,供投资者对公司进行尽职调查.
1900/1/1 0:00:002月26号17:00,Alpha5CEO?VishalShah和FBGCapitalfounder?周硕基做客金色微访谈直播间,本次直播由金色财经海带主持,主题为“Alpha5-机构进场的衍生品交易入口”.
1900/1/1 0:00:00今天简要给大家分析YFX的几个历程及背后的奥秘：2021年的第一天在推特上看到YFX的白皮书要发布,鉴于对市场的敏感度,只要有去中心化的现货交易所必然有去中心化的合约交易所,这也是我后来关注其原因之一.
1900/1/1 0:00:00
宇宙链