TRI:Fei Protocol被攻擊事件分析：“重入漏洞”如何破

2022年4月30日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，Fei Protocol官方的Rari Fuse Pool遭受黑客攻擊，黑客獲利約28380 ETH，約8034萬美元，成都鏈安技術團隊第一時間對事件進行了分析，結果如下。

由于漏洞出現在項目基本協議中，攻擊者不止攻擊了一個合約，以下僅分析一例

攻擊交易

Fei Protocol在Immunefi上推出針對“TRIBE Buybacks”的特殊漏洞賞金計劃:10月20日消息，算法穩定幣項目Fei Protocol在Immunefi上推出特殊漏洞賞金計劃，專注于TRIBE Buybacks發行前階段。與他們的主要漏洞賞金計劃不同，該特殊計劃對高危漏洞的賞金高達5萬美元，對關鍵漏洞的賞金高達20萬美元。這是一個有時間限制的漏洞賞金計劃，有效期至2021年11月2日23:59:59（UTC時間）。[2021/10/20 20:42:55]

0xab486012f21be741c9e674ffda227e30518e8a1e37a5f1d58d0b0d41f6e76530

CoinWind將于4月6日14:00開啟FEI和TRIBE的單幣挖礦:據官方消息，DeFi智能單幣挖礦金融平臺CoinWind，將于4月6日14:00（UTC+8）開啟FEI和TRIBE單幣挖礦，新增額度為50萬個FEI，10萬個TRIBE。

據了解，CoinWind是一個DeFi智能挖礦金融平臺，通過合約自動將質押的幣種進行撮合配對，配合對沖無常損失策略，將用戶收益最大化，有效解決了用戶單幣種挖礦收益低、LP挖礦無常損失大等風險問題。[2021/4/6 19:49:00]

攻擊者地址

動態 | Raiffeisen Bank俄羅斯分行使用區塊鏈分發數字抵押貸款:據Cointelegraph消息，Raiffeisen Bank俄羅斯分行使用區塊鏈平臺Masterchain分發數字抵押貸款。此外，據報道，俄羅斯中央銀行已經成功進行了初始硬幣發行（ICO）測試。試圖制定相關加密規則的工作草案。[2018/9/25]

0x6162759edad730152f0df8115c698a42e666157f

攻擊合約

0x32075bad9050d4767018084f0cb87b3182d36c45

被攻擊合約

0x26267e41CeCa7C8E0f143554Af707336f27Fa051

1. 攻擊者先從Balancer: Vault中進行閃電貸。

2. 將閃電貸的資金用于Rari Capital中進行抵押借貸，由于Rari Capital的cEther實現合約存在重入。

攻擊者通過攻擊合約中構造的攻擊函數回調，提取出受協議影響的池子中所有的代幣。

3. 歸還閃電貸，將攻擊所得發送到0xe39f合約中

本次攻擊主要利用了Rari Capital的cEther實現合約中的重入漏洞

4?資金追蹤

截止發文時，被盜資金超過28380?ETH（約8034萬美元），用成都鏈安“鏈必追”追蹤發現攻擊者正在通過Tornado Cash進行轉移，大部分仍在攻擊者地址。

針對本次事件，成都鏈安安全團隊建議：

進行以太坊轉賬時，謹慎使用call.value。使用時要確保重入不會發生。項目上線前，建議選擇專業的安全審計公司進行全面的安全審計，規避安全風險。

Tags：FEITRIBETRIBTRIFei ProtocolTRIBEX價格tribe幣前景TRIX價格

DOT