宇宙链 宇宙链
Ctrl+D收藏宇宙链

竟然可以推导出私钥?Anyswap 跨链桥被?分析

作者:

时间:1900/1/1 0:00:00

来源:知道创宇区块链安全实验室

作者:创宇区块链实验室

北京时间2021年7月12日凌晨1点,Anyswap官方发推声称Anyswap多链路由v3版本遭到攻击,V3跨链资金池受影响,损失约240万USDC和551万MIM,AnyswapV1和V2版本不受该攻击影响,跨链桥未受影响。知道创宇区块链安全实验室第一时间跟踪本次事件并分析:

ETH 2.0存款合约的总价值超过300亿美元:3月26日消息,Glassnode数据显示,ETH 2.0存款合约的总价值超过300亿美元,达到30,047,228,329美元。[2023/3/26 13:27:42]

事件跟踪

攻击时间:

2021年7月10日晚8:00(UTC)

攻击者地址:

0x0aE1554860E51844B61AE20823eF1268C3949f7C

攻击交易信息:

a.攻击交易1——>被盗金额:1,536,821.7694USDC

https://etherscan.io/tx/0xc80e7cfeb16143cba4d5fb3b192b7dbe70e9bcd5ca0348facd20bf2d05693070

V神:EIP-4844是大规模降低L2费用的关键一步:11月24日,以太坊联合创始人 Vitalik Buterin 发文表示,EIP-4844(Proto-Danksharding)是大规模降低 Layer2 费用的至关重要的第一步,有助于使大量用户直接使用链上应用而不是依靠 CeFi 中间方。

此前报道,OP Labs 首席执行官 Liam Horne 发文表示,以太坊核心开发人员将于周四召开电话会议,讨论将 EIP-4844 纳入考虑范围,这并不意味着包含在下一个硬分叉中,但似乎有充分的理由为上海升级进行考虑纳入。[2022/11/24 8:05:19]

Cardano连续8周正资金流入,创历史记录:金色财经报道,根据CoinShares披露的最新加密资金流动报告显示,Cardano已连续8周出现资金正流入,创下历史记录。自Cardano启动Vasil硬分叉后,吸引了价值超10万美元的区块链加密产品涌入。CoinShares数据还显示,除了Cardano之外,XRP也有少量正资金流入,而比特币和以太坊则看到更大的资金注入。[2022/9/27 22:32:00]

b.攻击交易2——>748,312.634392210170566277USDC

https://bscscan.com/tx/0xa8a75905573cce1c6781a59a5d8bc7a8bfb6c8539ca298cbf507a292091ad4b5

交通运输部印发《基于区块链的进口干散货进出港业务电子平台建设指南》:金色财经报道,近日,交通运输部印发了《基于区块链的进口干散货进出港业务电子平台建设指南》,提出了平台建设要求,明确了提单信息、进口舱单信息、提货单信息等上链的数据格式、交互要求等,推动港航企业加强协调联动,加快平台应用和数据共享,促进航运数字化转型。《指南》的出台,在已实现的集装箱运输区块链技术应用基础上,进一步拓展应用范围和场景,指导规范区块链在大宗散货运输中的应用,加快航运数字化转型,提升水路运输服务水平。(中国水运网)[2022/6/16 4:32:32]

c.攻击交易3——>112,640.877101USDC

https://ftmscan.com/tx/0x7312936a28b143d797b4860cf1d36ad2cc951fdbe0f04ddfeddae7499d8368f8

d.攻击交易4——>5,509,227.35372MIM

https://etherscan.io/tx/0xecaaf8b57b6587412242fdc040bd6cc084077a07f4def24b4adae6fbe8254ae3

技术分析

BSC上的V3路由器MPC帐户下存在两个v3router交易,这两个交易具有相同的R值签名,攻击者可以反推出MPC账户的私钥,知道创宇安全团队通过本地测试验证了这种攻击方法,如果知道两次交易中相同的R值(ECDSA签名算法),由于两次签名的原始数据不一样,就能反推出签名时使用的随机数种子,又因为可以地址中推算出了公钥,所以通过脚本即可反推出MPC地址的私钥(如下方截图所示),最后攻击者以MPC身份调用anySwapInAuto函数完成盗币。代码关键部分:

代码执行结果如下:

后续进展

Anyswap项目方将赔偿此次盗币事件产生的损失,并在未来48小时更新主合约代码,以修复使用相同R签名导致的私钥泄露事件。如有最新进展,实验室将会第一时间跟进和分析。

标签:区块链ANYDANAnyswapfuture币区块链GANY币Mu DankManySwap

币赢交易所热门资讯
Robinhood Financial因首席执行官违反FINRA注册要求而接受调查

据CoinDesk7月28日消息,RobinhoodFinancial在周二的监管文件中披露,因首席执行官VladTenev因未能在华尔街最高监管机构之一的美国金融业监管局(FINRA)注册.

1900/1/1 0:00:00
DFINITY遭到集体诉讼,指控该公司将ICP代币作为未注册证券出售

据Decrypt7月22日消息,DFINITY在加利福尼亚州遭到集体诉讼,指控该公司将ICP代币作为未注册证券出售。加州居民DanielOcampo代表2021年5月10日当天或之后购买ICP代币的所有投资者提出了这项法律诉讼.

1900/1/1 0:00:00
科普 | 什么是社区贡献机会(CCO)?

社区贡献机会:这是一种为社区、项目、团队等筹集资金的新方式。 在我们之前的文章中,我们已经或多或少地提及到所谓的社区贡献机会,现在是时候阐述我们对它的想法了.

1900/1/1 0:00:00
欧阳小飞(西部世界CMO):数据存储迎来发展新机遇

近期内蒙、青海、四川等地先后出台的相关政策引起行业一阵哀嚎,关电、清洁能源、出海成为大家探讨的热点话题,“狼来了”“熊来了”的呼声甚嚣尘上.

1900/1/1 0:00:00
奢侈品Dolce & Gabbana将在基于Polygon的市场UNXD上发布NFT作品

据Cryptoglobe7月15日消息,意大利奢侈时尚品牌Dolce&Gabbana将在基于Polygon的数字市场UNXD上推出其首个NFT系列作品.

1900/1/1 0:00:00
再添一员,可口可乐和Tafi合作铸造NFT

去中心化虚拟化身平台Tafi,与可口可乐达成合作,铸造可穿戴的虚拟装备NFT,包括一件可穿戴的“夹克”,这是可口可乐第一次涉足NFT领域,并将纪念国际友谊日,拍卖会的收益将捐赠给国际特殊奥林匹克委员会.

1900/1/1 0:00:00