OrionProtocol yeniden giriş saldırısına uğradı, 2.9 milyon dolar kayıp.

robot
Abstract generation in progress

OrionProtocol Yeniden Giriş Saldırısı Olayı Analizi

2 Şubat 2023 15:40:20 UTC'de, Ethereum ve Binance Akıllı Zinciri üzerindeki OrionProtocol sözleşmesi bir açık nedeniyle yeniden giriş saldırısına uğradı. Saldırgan, Ethereum zincirinden 2,844,766 USDT, Binance Akıllı Zinciri'nden ise 191,606 BUSD kazandı, toplamda yaklaşık 2.9 milyon dolar.

Saldırı Süreci Analizi

Saldırgan öncelikle özel bir Token sözleşmesi dağıttı ve sonraki saldırı için hazırlık olarak ilgili transfer ve yetkilendirme işlemlerini gerçekleştirdi.

Ardından, saldırgan belirli bir DEX'in swap metodunu kullanarak borç aldı ve token değişimi için OrionProtocol'un ExchangeWithAtomic.swapThroughOrionPool metodunu çağırdı. Değişim yolu [USDC, saldırgan Token, USDT] olarak ayarlandı.

Dönüşüm sürecinde, saldırganlar tarafından oluşturulan Token sözleşmesinde geri çağırma mantığı bulunduğu için Transfer işlemi sırasında ExchangeWithAtomic.depositAsset yöntemine yeniden giriş çağrısı tetiklenir ve bu da yatırılan miktarın birden fazla kez artmasına neden olur. Sonunda, saldırgan para çekme işlemiyle kâr elde eder.

OrionProtocol Yeniden Giriş Saldırısı Analizi ile PoC

Fon Akışı

Saldırganın başlangıç sermayesi bir borsa platformunun sıcak cüzdan hesabından gelmektedir. Elde edilen 1,651 ETH'den 657.5 ETH hala saldırganın cüzdan adresinde beklemekte, geri kalan kısmı ise karıştırma hizmetleri aracılığıyla aktarılmıştır.

OrionProtocol yeniden giriş saldırısı analizi ile PoC

Açık Analizi

Temel sorun, ExchangeWithAtomic sözleşmesinin doSwapThroughOrionPool fonksiyonundadır. Bu fonksiyon, Token transferi gerçekleştirdikten sonra curBalance değişkenini günceller, bu da yeniden giriş saldırısı için bir zemin hazırlar. Saldırgan, özel Token'ın transfer fonksiyonunu kullanarak depositAsset metodunu geri arar ve bu, curBalance'ın yanlış güncellenmesine neden olur. Sonuç olarak, saldırgan, ani kredi geri ödemesinden sonra withdraw fonksiyonu aracılığıyla aşırı fonları çekmiştir.

OrionProtocol Yeniden Giriş Saldırısı Analizi PoC ile

OrionProtocol yeniden giriş saldırısı analizi ile PoC

OrionProtocol Yeniden Giriş Saldırısı Analizi ve PoC

OrionProtocol yeniden giriş saldırısı analizi ile PoC

OrionProtocol Tekrar Giriş Saldırı Analizi ile PoC

OrionProtocol yeniden giriş saldırısı analizi PoC ile

OrionProtocol yeniden giriş saldırısı analizi ile PoC

OrionProtocol Yeniden Giriş Saldırısı Analizi ile PoC

OrionProtocol Yeniden Giriş Saldırısı Analizi ile PoC

Güvenlik Önerileri

  1. Sözleşme tasarımında birden fazla Token ve takas yollarının getirebileceği güvenlik riskleri dikkate alınmalıdır.

  2. "Kontroller-Etkiler-Etkileşimler"(Kontroller-Etkiler-Etkileşimler) modelini takip ederek sözleşme kodu yazın, yani önce koşul kontrolü yapın, ardından durum değişkenlerini güncelleyin, en son olarak da dış çağrıları gerçekleştirin.

  3. Ana işlevlerde yeniden giriş kilidi uygulayarak yeniden giriş saldırılarını önleyin.

  4. Harici olarak çağrılan Token sözleşmeleri için sıkı bir güvenlik denetimi ve beyaz liste yönetimi yapılmalıdır.

  5. Düzenli olarak sözleşme güvenlik denetimleri gerçekleştirin, potansiyel açıkları zamanında tespit edin ve düzeltin.

Bu önlemleri alarak, akıllı sözleşmelerin saldırıya uğrama riskini etkin bir şekilde azaltabilir ve projenin genel güvenliğini artırabilirsiniz.

TOKEN6.37%
View Original
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
  • Reward
  • 9
  • Share
Comment
0/400
Ser_This_Is_A_Casinovip
· 10h ago
Başka bir insanları enayi yerine koymak ve Rug Pull mu yaptı?
View OriginalReply0
PanicSeller69vip
· 20h ago
Yine bir sözleşme açığı, ahh.
View OriginalReply0
ImpermanentTherapistvip
· 22h ago
又一enayiler被insanları enayi yerine koymak了
View OriginalReply0
ForkTonguevip
· 08-03 09:11
又一个 mahkum
View OriginalReply0
DevChivevip
· 08-02 06:22
Yine bir enayiler için insanları enayi yerine koymak soğudu.
View OriginalReply0
GasWastervip
· 08-02 06:15
Yine bir enayiler insanları enayi yerine koymak mahkum oldu.
View OriginalReply0
SleepTradervip
· 08-02 06:11
Yine bir dalga enayiler insanları enayi yerine koymak.
View OriginalReply0
BearMarketLightningvip
· 08-02 06:02
Yine Klip Kuponlar ile aldatıldım.
View OriginalReply0
DoomCanistervip
· 08-02 05:56
Yine akıllı sözleşmelerin eski bir sorunu.
View OriginalReply0
View More
  • Pin
Trade Crypto Anywhere Anytime
qrCode
Scan to download Gate app
Community
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)