BRIDGE:「炸橋案」頻發，V神指出跨鏈橋安全風險或將摧毀多鏈未來

在2021年的基礎上，2022年的攻擊賽道又出現了一位“強力選手”。跨鏈橋作為新的攻擊載體，安全性方面的發展尚未成熟。因此，跨鏈橋也是所有項目以及開發人員應該提高警惕的領域之一。2022年的春節假期尚未結束時，跨鏈橋即發生了兩起重大攻擊，算上春節前的另一起同類事件，短短10天內的三起攻擊事件使得黑客在跨鏈橋方面取得了“傲人”成績。

在對這幾起事件進行了解之前，我們需要先知道什么是跨鏈橋以及它的原理。用一個相對簡單的描述：bridge可將資產從一個區塊鏈轉移到另一個區塊鏈。跨鏈交易

跨鏈交易的步驟如下：1.用戶將代幣“存入”一條鏈上的“bridge合約”，并生成一個證明，指定所需的跨鏈信息。2.bridge合約驗證該證明，隨后在目標鏈上用戶可以從bridge合約中"提取"代幣。在最近的三起事件中，攻擊者注入欺騙性數據，繞過驗證，將目標鏈上的相應代幣提取到指定地址。

Aave社區發起將Aave V3部署至Metis Andromeda主網提案投票:金色財經報道，據snapshot頁面顯示，Aave社區發起將Aave V3部署至Metis Andromeda主網投票，投票將于23日晚10時結束，當前，贊成票占比達99.95%。

據提案顯示，MetisDAO基金會將通過“建設者挖礦激勵”、“生態系統贈款”與“Genesi DAC 投資”資助Aave生態項目，建設者挖礦激勵計劃每月根據每個協議負責的月度總交易量分配4000 枚 Metis。通過該集成，Aave也可以通過協議費與建設者挖礦激勵計劃獲得額外收入。Metis與Bored Ghosts Developing（BGD）合作，對Andromeda網絡進行技術評估，Gaunlet與Chaos Labs合作，為Metis Andromeda網絡的部署提供風險分析與建議。該提案提議在合約部署后的6個月內開展10萬枚Metis代幣流動性激勵活動，并與Chaos Labs合作，制定戰略分配，以加強市場深度與粘性流動性。

若提案通過，Aave將與BGD協調開始Aave部署，預計需4周時間。[2023/3/18 13:11:26]

KuCoin合約系統進行維護，將分批次開放:11月9日消息，KuCoin合約系統今日進行維護，預計將對所有合約交易對分兩批次進行開放。第一批交易對將于2022年11月9日15:30:00（UTC)開啟“僅撤單”功能，15:35:00（UTC) 正式開啟交易。第二批交易對具體恢復時間將另行公告通知。[2022/11/10 12:40:33]

Bridges上的常見攻擊媒介QubitBridge漏洞事件

攻擊者偽造數據繞過bridge合約的數據真實性檢查，在沒有提供任何加密貨幣的情況下使bridge合約產生了攻擊者已存款的虛假時間證明。其根本原因在于ETH和ERC-20的存款共享相同的事件證明。這允許攻擊者調用該函數利用不存在的ERC20存款事實生成虛假的ETH存款事件證明，并以此在另一條鏈上提取ETH。在這種情況下合約中的漏洞被觸發——當代幣地址是EOA時，“safeTransferFrom”函數不會回退。因此，攻擊者在沒有向合約發送任何代幣的情況下獲取了證明。

CME比特幣期貨持倉周報：未平倉總量下降至13258張:金色財經消息，據KingData數據監控，CFTC 6月29日至7月5日CME比特幣期貨持倉周報顯示：

未平倉總量自13,707張下降至13,258張。

機構多頭頭寸8,181張，空頭頭寸10,371張，多空持倉比例1:1.3，機構多空力量均衡，整體偏向看空；

大戶多頭頭寸2,619張，空頭頭寸471張，多空持倉比例5.6:1，大戶顯著偏向看漲；

散戶多頭頭寸1,058張，空頭頭寸1,016張，多空持倉比例1:1，散戶多空力量均衡。[2022/7/11 2:05:07]

美銀前瞻美聯儲利率決議：預計加息50個基點 下調經濟預期 上調通脹預期:6月14日消息，美國銀行分析師在周三FOMC會議前的一份報告中稱，美聯儲可能會堅持美聯儲官員自上次會議以來所暗示的加息50個基點的立場，但鑒于近期通脹和通脹預期意外上升，美聯儲主席鮑威爾很難拒絕美聯儲更激進的加息路線，該會議還將更新點陣圖。我們預計今年的點陣圖中值將升至2.50-2.75%，并預計將下調部分增長預期，上調部分通脹預期。(金十)[2022/6/14 4:24:06]

事件詳細分析請戳：https://certik.medium.com/qubit-bridge-collapse-exploited-to-the-tune-of-80-million-a7ab9068e1a0MeterBridge漏洞事件

該漏洞與Qubitbridge漏洞很相似——攻擊者避過bridge合約向bridge提供不存在的代幣證明從而跳過了驗證過程，從而可以在另一個鏈上提取代幣。Bridge合約提供了兩個方法：deposit和depositETH。然而，這兩個方法產生了相同的存款事件證明，并且deposit函數并沒有阻止WETH/WBNB的存款交易，也沒有銷毀或鎖定WETH/WBNB。黑客通過使用deposit，在沒有任何真實存款的情況下使bridge合約產生了虛假的WETH/WBNB存款事件證明。

該事件分析內容詳見CertiK公眾號。Solana跨鏈橋蟲洞事件

Solana蟲洞的漏洞事件中，攻擊者通過向指令注入一個惡意的“sysvaraccount”來繞過“verifysignature”，并偽造了一個鑄造Wormhole-wrappedEther的消息。這個漏洞的根本原因是在驗證簽名過程中，程序使用了一個在Solana更新至1.8.0時即被廢棄的“load_current_index”函數。該函數不會驗證輸入的“sysvaraccount”是否真的是“systemsysvar”，從而攻擊者可以趁機偽造這個關鍵帳戶。此后，攻擊者利用此偽造的賬戶生成了虛假的鑄幣信息，然后根據得到的鑄幣在目標鏈上提取了相應真實代幣。

該事件分析內容詳見CertiK公眾號。三起“炸橋案”總結

Qubit以及Meter.io的bridge代碼未能處理臨界情況，也就是說，合約的ERC20存款功能可以用來生成虛假的ETH/BNB存款事件證明，而后者成為了目標鏈上提取真實ETH/BNB的憑證。Wormholebridge則是其合約未驗證調用者注入的“sysvaraccount”，從而產生了虛假的鑄幣信息。總而言之，上述三起事件都是由于驗證過程的缺陷而造成的。如何應對該類漏洞？

在上述攻擊中，我們可以吸取到一些關鍵教訓：1.對于不同的功能，比如ERC20的存款和ETH/BNB的存款，合約應產生不同的事件證明。2.始終記得驗證用戶注入的輸入。3.密切關注近期漏洞事件，并檢查其他項目是否存在類似情況。4.需要對每個bridge的核心合約進行相應審計。除此之外，當該漏洞發生后，我們應該：1.停止中繼消息層并暫停代幣傳輸，bridge合約也應暫停所有充提幣功能。2.立即通知社區、交易所和平臺合作伙伴，監控資金流向。3.建立與權威安全專家們的溝通渠道，進行有效的討論和信息共享。4.識別、驗證和修復漏洞。及時測試以確保現有的漏洞得到解決以及未產生新的漏洞，同時對bridge合約進行升級。5.評估損失，并與社區就被利用的資產數量、可追回的資產以及補償計劃進行坦誠地溝通

Tags：DGEBRIDGEIDGRIDGEFRIDGE幣The BridgeSQUIDGAMES價格Bridge Bot

中幣交易所