北京时间2022年3月13日上午9:04，CertiK安全技术团队监测到Paraluni'sMasterChef?合约遭到攻击，大约170万美元的资金通过多笔交易从该项目中被盗。
下文CertiK安全团队将从该项目的操作及合约等方面为大家详细解读并分析。
合约地址
Masterchef合约:?https://bscscan.com/address/0xa386f30853a7eb7e6a25ec8389337a5c6973421d#code
纽约时报：加密货币等虚拟资产分割已成离婚案件纠纷的主要来源:2月21日消息，据纽约时报报道，由于加密货币的追踪和估值难度，加密货币等虚拟资产分割已成离婚案件纠纷的主要来源。离婚律师透露，在不少离婚案件中，配偶一方会少报财产或将财产转移至加密钱包。离婚律师不得不依赖法院调查员来追踪追踪比特币、以太坊等加密货币从在线交易所到数字钱包的转移。法院调查员兼分析师 Paul Sibenik 表示，调查公司 CipherBlade 在过去几年里已经处理了大约 100 起与加密相关的离婚案件。在多起案件中，他追踪到丈夫向妻子隐瞒的价值超过 1000 万美元的加密货币。[2022/2/21 10:05:17]
攻击者部署了两个恶意的代币合约UGT和UBT。
《纽约时报》：2021年硅谷科技巨头因员工转投加密行业而出现“离职潮”:12月22日消息，据《纽约时报》报道称，今年硅谷科技巨头员工离职加速并开始转投加密行业，随着诸如狗狗币这样的加密故事在硅谷流传，越来越多的科技行业最优秀和最聪明的人看到了最新的变革时刻，包括谷歌、苹果、Meta、Amazon等科技巨头开始出现“离职潮”。比如区块链域名公司Unstoppable Domains在两天内已收到350多人的求职申请。为了遏制这种趋势，谷歌公司开始向老员工提供额外股票赠与，目前谷歌拒绝就此事给予置评。另据投资数据追踪公司PitchBook透露，今年风投已经向全球加密货币和区块链初创企业投入了超过280亿美元，是2020年的四倍，其中仅NFT公司就获得了超过30亿美元的投资。[2021/12/22 7:55:52]
在UBT代币合约中，有两个恶意的函数实现：
纽约时报记者计划出售其专栏的NFT版本:金色财经报道，纽约时报记者Kevin Roose今日刊文宣布，计划将其专栏转化为NFT并在公开市场上出售，订阅价格为每周1美元。Roose称，通过NFT赚到的每一笔钱都将捐给《纽约时报》的“最需要案例基金”(Neediest Cases Fund）。Roose表示，其制作NFT的第一步是建立一个数字钱包以存放其代币，并选择NFT市场Foundation进行拍卖。[2021/3/25 19:14:59]
????1.在"transferFrom()"函数中，攻击者实现了对MasterChef的"deposit()"函数的调用，以存入LP代币。
????2.一个"withdrawAsset()"函数，将调用Masterchef的"withdraw()"来提取存入的LP代币。
攻击阶段:
攻击者利用闪电贷获得了156,984BSC-USD和157,210BUSD。
攻击者向ParaPair发送通过闪电贷获得的BSC-USD和BUSD代币，并收到155,935枚LP代币作为回报。
然后，攻击者调用"depositByAddLiquidity()"函数，将LP代币存入资金池。
???????1.在调用此函数时：输入参数“_pid”为18，“_tokens”为。
????????2.因为depositByAddLiquidity()会调用“UBT.transferFrom()”函数,因此MasterChef.deposit()函数会被触发并且向合约存入155,935LP代币。
???????3.因此,155,935LP代币被存入了两次并且攻击者获得了两份“userInfo”的记录(一次是从UBT,另一次是从攻击者的合约）。
最后，攻击者提取了两次:
???????1.?第一次是通过函数“UBT.withdrawAsset()”。
???????2.另一个是来自攻击者对“Masterchef.withdraw()”函数的调用。最后，攻击者删除了流动资金并返还了闪电贷。
`depositByAddLiquidity()`函数通过调用`addLiquidityInternal()`函数，触发了传入恶意代币的“transferFrom”函数，进而导致了重入的问题。因此，同一份LP代币被存入两次。
BNB仍然在攻击者在BSC的地址中，235个ETHs则通过Birdge转移到以太坊，并通过Tornado进行洗白。
时刻关注函数的外部输入，尽量避免传入合约地址作为参数。
关注外部调用，为所有可能出现重入危险的外部调用函数加上“nonReentrant”修饰函数。
本次事件的预警已于第一时间在CertiK项目预警推特进行了播报。
除此之外，CertiK官网https://www.certik.com/已添加社群预警功能。在官网上，大家可以随时看到与漏洞、黑客袭击以及RugPull相关的各种社群预警信息。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。