2022年10月13日，据据BeosinEagleEyeWeb3安全预警与监控平台的舆情消息，FTX交易所遭到gas窃取攻击，黑客利用FTX支付的gas费用铸造了大量XENTOKEN。
金色财经邀请Beosin安全团队第一时间对事件进行了分析，结果如下：
1、事件相关信息
其中一部分攻击交易：
0xc96b84cd834655290aa4bae7de80a3c117cc19d414f5bcf2fb85b8c5544300890x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d690x6bada8e084f8d3b62311f0b6eda10f2690e7542dab75a0de436a640036bccf94
JAN3首席执行官受邀与墨西哥参议员就墨西哥如何采用加密货币进行讨论:5月1日消息，据Bitcoin Magazine发推表示，JAN3首席执行官、比特币中国前首席运营官Samson Mow于4月29日与墨西哥参议员兼财政委员会主席讨论了关于墨西哥如何采用加密货币墨西哥如何采用加密货币的问题。
据悉，墨西哥是拉丁美洲最大的经济体之一，如果成功采用加密货币，将为整个地区带来深远的影响，对于加密货币市场来说是一个重要的里程碑。[2023/5/1 14:36:45]
其中一个攻击者地址0x1d371CF00038421d6e57CFc31EEff7A09d4B8760其中一个攻击合约0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3被攻击地址0xC098B2a3Aa256D2140208C3de6543aAEf5cd3A94(FTX热钱包地址)
Jules Urbach ：RNDR 如何成为引领NFT加密艺术浪潮的GPU计算平台:JulesUrbach：RNDR如何成为引领NFT加密艺术浪潮的GPU计算平台3月29日，在以《RNDR渲染网络：引领NFT加密艺术浪潮的GPU计算平台》为主题的AMA中，HuobiGlobalNFT板块项目RNDRNetwork发起人JulesUrbach表示，NFT是实现开放去中心化的虚拟世界的重要基石，而开放去中心化的虚拟世界是RNDR网络自2017年推出以来的愿景。JulesUrbach介绍RNDR将会面向艺术家推出一些新的工具，包括在RNDR网络上铸造带有深度场景图验证的NFT，将ORBX格式的文件变成NFT、生成式艺术（GenerativeArt）等。JulesUrbach还表示，NFT拥有在今天的数字艺术之外的巨大潜力。增强现实、全息显示和实时的沉浸式流媒体将让我们能够在几年后创作出如今只有在科幻小说中才会出现的NFT内容。NFT将可以与物理空间绑定，记录在区块链上的虚拟物体将日益成为人们的日常生活的一部分。[2021/3/29 19:26:18]
2、攻击流程
直播｜Elsa > 区块链企业钱包如何防护数字资产安全:金色财经 · 直播主办的《 币圈 “后浪” 仙女直播周》第8期20：00准时开始，本期“后浪”仙女太壹科技 首席品牌官 Elsa将在直播间聊聊“区块链企业钱包如何防护数字资产安全”，感兴趣的朋友扫码移步收听！[2020/7/12]
以其中一笔攻击交易为例(0x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d69)第一步，攻击者先在链上部署攻击合约(0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3)第二步，FTX热钱包地址会向攻击合约地址转入小额的资金，利用攻击合约(0xCba9...7FD3)进行批量创建子合约。由于整个攻击中创建了大量合约，并且每次执行完子合约之后，子合约都会自毁，所以以下图为例部分展示。
欧链老狼：全球出块节点大致分为三个组，每个组都在预演如何启动EOS网络:EOS超级节点竞选团队欧链的老狼在《欧链·宁话区块链》第二季的节目中称 “全球出块节点大致分为三个组，每个组都在预演如何从无到有启动EOS网络。具体什么时候主网上线，需要大家一起协同来做。或许在某一个预定的时间点，大家觉得有些准备工作没有做好，希望把这个时间点再往后延一点，这种情况是有可能发生的。”[2018/6/2]
?第三步，接下来子合约fallback()函数去向Xen合约发起铸币请求，如下函数，claimRank()函数传入一个时间期限进行铸币，铸币条件是只用支付调用gas费，并无其他成本，并且claimMintRewardAndShare()函数为提取函数，该函数只判断是否达到时间期限，便可无条件提取到任何非零地址。但在此次调用过程中，交易发起者为FTX热钱包地址，所以整个调用过程的gas都是由FTX热钱包地址所支付，而Xen铸币地址为攻击者地址。
前三个步骤，重复多次，并且每次重复过程中都会将已到期的代币提取出来，并且同时发起新的铸币请求，黑客达成他的目标。
3、漏洞分析
本次攻击主要利用了FTX项目没有对接收方为合约地址进行任何限制，也没有对ETH的gasLimit进行限制，导致攻击可以利用合约来铸造XEN代币进行获利。截止发文时，Beosin安全团队通过BeosinTrace对被盗资金进行追踪分析，FTX交易所损失81ETH，黑客通过DODO，Uniswap将XENToken换成ETH转移。
BeosinTrace资金追踪图
4、事件总结
针对本次事件，Beosin安全团队建议：1.对钱包接收为合约的地址进行限制。2.对业务中存在gas风险的业务对gaslimit进行足够小的限制。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。