VISR:Uniswap V3流動性管理協議Visor Finance再遭黑客攻擊，VISR暴跌近95%

12月22日，UniswapV3流動性管理協議VisorFinance再次遭受黑客攻擊，黑客借助漏洞提取了超過880萬個VISR并在Uniswap上賣出，導致VISR代幣暴跌近95%，通過TornadoCash進行洗幣后黑客獲利超過120枚ETH。

目前Visor官方表示將對攻擊前地址數據進行快照，進行VISR遷移和退還。新Token將會采用新的名稱替換舊的VISR名稱，Token經濟學保持不變，并且將使用新代幣以1:1的比例贖回，包括質押在vVISR合約中的代幣和質押在Tokemak中的Token。

Mighty Bear Games將在Arbitrum上推出鏈游《Mighty Action Heroes》:7月10日消息，Mighty Bear Games將與Treasure DAO合作，在Arbitrum上推出大逃殺鏈游《Mighty Action Heroes》，該游戲將于北京時間7月14日8:00推出公測版本。Mighty Action Heroes的公測版包含八位新英雄、物品制作系統以及補給箱中的可交易游戲內物品。游戲的補給箱包含獎勵或用于制造物品的制作材料，其稀有程度各不相同。[2023/7/10 10:46:33]

據慢霧安全團隊分析，VisorFinance項目遭受攻擊是由于RewardsHypervisor合約在對用戶充值進行權限檢查時存在缺陷，導致攻擊者可以構造惡意合約以進行任意鑄造抵押憑證。

Uniswap上線開源Permit2，代幣授權時限為30天:1月20日消息，Uniswap宣布上線Permit2，代幣授權每30天過期一次，并且可以通過無Gas簽名重新授權。用戶在使用Permit2重新授權后，之后Uniswap升級服務器后也不需要花費Gas再次授權代幣。

據悉，Permit2是開源的，開發者可集成用來跨應用共享授權管理、任意代幣的通用許可、有時限的代幣授權、批量代幣授權和撤銷等。[2023/1/20 11:22:21]

具體分析內容如下：

0xAPI新增滑點保護功能:7月15日消息，去中心化交易協議0x在0xAPI中新增滑點保護功能，該功能可以啟用MEV感知智能訂單路由，避免MEV帶來的交易失敗或高滑點。此外，該功能目前支持ETH/USDC、ETH/DAI、ETH/USDT、ETH/WBTC、WETH/USDC、WETH/DAI、WETH/USDT、WETH/WBTC八個交易對，未來將支持更多交易對。[2022/7/15 2:14:57]

1.用戶可以通過VisorFinance的RewardsHypervisor合約中的deposit函數進行VISR代幣抵押，其會先將用戶的VISR代幣轉進合約中，并鑄造對應的抵押憑證給用戶。若用戶在進行deposit操作時傳入的from地址是合約地址，那么其會先進行owner檢查再調用from合約的delegatedTransferERC20函數將VISR代幣轉入抵押合約中，但owner檢查卻檢查的是from合約的owner是否是調用者。因此攻擊者可以部署惡意合約使得惡意合約owner滿足此檢查，隨后就可以為任意地址鑄造抵押憑證。?

2.攻擊者利用憑空鑄造的抵押憑證即可直接通過RewardsHypervisor合約的withdraw函數將合約中抵押的VISR取出。

因此，此次攻擊是由于RewardsHypervisor合約在對用戶充值進行權限檢查時存在缺陷，導致攻擊者可以構造惡意合約以進行任意鑄造抵押憑證。

參考交易：

https://etherscan.io/tx/0x69272d8c84d67d1da2f6425b339192fa472898dce936f24818fda415c1c1ff3f

https://etherscan.io/tx/0x6eabef1bf310a1361041d97897c192581cd9870f6a39040cd24d7

Tags：ETHVISRISRVisorguaranteed-ethurance-token-extraVISR幣ISR價格GastroAdvisor

幣安幣