UCO:慢霧：Furucombo被黑分析_WaveEduCoin

著名DeFi項目Furucombo被黑，損失超1500萬美元。慢霧安全團隊第一時間介入分析，并將攻擊細節分享給大家。

攻擊細節分析

本次發生問題的合約在Furucombo本身的代理合約當中。整個攻擊流程很簡單。攻擊者通過設置了Furucombo的AaveV2Proxy的邏輯地址導致后續通過Furucombo代理合約調用的邏輯全部轉發到攻擊者自己的惡意合約上，導致任意資金被盜。

但是如果事情那么簡單，那么本次分析不值一提。問題遠比想象的復雜得多。

如上圖所示攻擊者的入口在Furucombo的batchExec函數，我們先對batchExec函數進行分析：

CME上以太坊未平倉合約觸及近一年來低點:8月12日消息，據 K33 Research 數據顯示，芝加哥商品交易所（CME）上以太坊未平倉合約觸及近一年來低點，比特幣未平倉合約也出現大幅下降。[2023/8/12 16:22:13]

以上是FurucomboProxy合約的batchExec函數的具體實現，其中_preProcess和_postProcess合約分別是對調用前后做一些數據上的處理，不涉及具體的調用邏輯，這邊可以先忽略。我們主要觀察核心的_execs函數：

通過對execs代碼的分析不難發現，函數的主要邏輯是對configs數組的數據做檢查，并根據configs數組的數據對data進行一些處理。但是回顧上文中攻擊者的調用數據，不難發現攻擊者的調用數據中，configs的數據是一個0地址：

美SEC主席：加密貨幣經紀商將承擔最佳執行責任:金色財經報道，美國證交會主席根斯勒表示，加密貨幣經紀商將承擔最佳執行責任。[2023/3/3 12:39:51]

這里有一個trick，由于?0地址是一個EOA地址，所有對EOA地址的函數調用都會成功，但是不會返回任何結果。結合這個trick，execs函數中的關于configs數據的部分可以先暫時忽略。直接看到最后的核心_exec函數：

_exec函數的邏輯也很簡單，在校驗了_to地址后，直接就將data轉發到指定的_to地址上了。而通過對攻擊交易的分析，我們能發現這個_to地址確實是官方指定的合法地址。

華爾街投行Jefferies下調MicroStrategy股票評級至“表現不佳”:7月26日消息，知名華爾街投行 Jefferies 周二在一份研究報告中表示，MicroStrategy (MSTR) 面臨更嚴峻的宏觀經濟背景，并且對低增長資產的估值較高，因此將該股評級從持有下調至表現不佳，目標價為 180 美元。

Jefferies 表示，MicroStrategy 現在持有 129,200 BTC，由于比特幣價格下跌，該投資正在產生虧損。比特幣現在占公司企業價值(EV) 的 52%，為 28 億美元，這意味著在 39.7 億美元的投資中出現了 10 億美元的未實現損失。[2022/7/27 2:39:29]

最后一步，便是調用_to地址，也就是官方指定的AaveV2Proxy合約的initialize函數，將攻擊者自己的惡意地址設置成AaveV2Proxy合約的邏輯地址。通過對Furucombo合約的分析，可以發現整個調用流程上沒有出現嚴重的安全點，對調用的地址也進行了白名單的檢查。那么問題只能是出在了對應要調用的代理邏輯上，也就是AaveV2Proxy合約。

日本電影制片廠Noma宣布將制作三部基于加密貨幣世界的故事片:金色財經報道，日本電影制片廠 Noma 宣布將制作三部基于加密貨幣世界的故事片。第一部電影名為《修辭之星》，已經在制作中，將于 2024 年上映。?Noma 的創始人兼該系列的制片人Taichi Ito表示，三部曲旨在通過創造性的故事講述來傳授有關加密行業的知識。此外，Ito自豪地分享了他們的團隊正在與BTC?專家和屢獲殊榮的聲音設計師 Sefi Carmel 合作。他還表示相信，《修辭之星》將“改變”觀眾了解加密貨幣的方式。

該系列電影還由總部位于東京的區塊鏈公司 Gracone 的首席執行官藤本麻伊和日本出版商 CoinPost 的高管 Ryo Nakatsuji 制作。同時，曾在《精靈寶可夢》、《妖精的尾巴》和《殺鬼》等熱門動漫作品中工作的日本動畫師 Haruna Gohzu將在影片的動畫中擔任主角。

為電影設計聲音的 Sefi Carmel 提到，該團隊希望創建一個系列，以“創造性和可訪問”的方式將世界加密專家的見解傳達給大眾。他說，他很榮幸加入該團隊，并為世界轉向“依賴于區塊鏈、加密貨幣、NFT 等的虛擬未來”而感到興奮。(Cointelegraph)[2022/6/22 4:43:57]

我們直接分析AaveV2Proxy合約的initialize函數的邏輯：

可以看到initialize函數是一個public函數，并在開頭就檢查了_implementation是否是0地址，如果是0地址，則拋出錯誤。這個檢查的目的其實就是檢查了_implementation是否被設置了，如果被設置了，就無法再次設置。根據這個設置，不難想出initialize這個函數只能調用一次。除非AaveV2Proxy從來沒有設置過_implementation，否則這個調用是不會成功的。難道Furucombo真的沒有設置過對應的_implementation嗎？帶著這樣的疑問，我們檢查了交易內的狀態變化。如下：

可以看到，交易中改變了存儲位置為0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc的內容，而寫入的內容正是攻擊者自己的惡意合約地址?0x86765dde9304bea32f65330d266155c4fa0c4f04。

而?0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc這個位置，正是_implementation數據的存儲地址。

也就是說，官方從來沒有設置過?AaveV2Proxy合約的_implementation地址，導致攻擊者鉆了這個空子，造成了Furucombo資產損失。

總結

通過對整個事件的分析來看，Furucombo此次事故并不在安全漏洞的范疇內，主要的原因在于官方將未啟用的?AaveV2Proxy合約添加進了自己的白名單中，并且未對AaveV2Proxy合約進行初始化，導致攻擊者有機可乘。

建議

目前，由于Furucombo遭受攻擊，導致任何將代幣授權過給Furucombo合約(0x17e8ca1b4798b97602895f63206afcd1fc90ca5f)的用戶都將面臨資金損失的風險。

慢霧安全團隊建議與Furucombo交互過的用戶檢查是否有將相關代幣授權給Furucombo合約。如有授權，應及時撤銷相關授權，避免進一步損失。

來源：金色財經

Tags：UCOCOMBCOMCOMBOWaveEduCoincombo幣行情COMA幣combo幣圈

SHIB最新價格