安全團隊：跨鏈DEX聚合器Transit Swap因任意外部調用問題被黑，被盜資金規模超2300萬美元

10月2日消息，據慢霧安全團隊情報，2022年10月2號跨鏈DEX聚合器TransitSwap項目遭到攻擊，導致用戶資產被非預期的轉出。慢霧安全團隊分析評估此次被盜資金規模超過2300萬美元，黑客地址為0x75F2...FD46和0xfa71...90fb。接著對此次攻擊過程進行了分析：

1. 當用戶在Transit Swap進行swap時，會先通過路由代理合約(0x8785bb...)根據不同的兌換類型選擇不同的路由橋合約。隨后路由橋合約(0x0B4727...)會通過權限管理合約(0xeD1afC...)的 claimTokens 函數將用戶待兌換的代幣轉入路由橋合約中。因此在代幣兌換前用戶需要先對權限管理合約(0xeD1afC...)進行授權。

2. 而 claimTokens 函數是通過調用指定代幣合約的 transferFrom 函數進行轉賬的。其接收的參數都由上層路由橋合約(0x0B4727...)傳入，本身沒有對這些參數進行任何限制只檢查了調用者必須為路由代理合約或路由橋合約。

3. 路由橋合約(0x0B4727...)在接收到用戶待兌換的代幣后會調用兌換合約進行具體的兌換操作，但兌換合約的地址與具體的函數調用數據都由上層路由代理合約(0x8785bb...)傳入，路由橋合約并未對解析后的兌換合約地址與調用數據進行檢查。

4. 而代理合約(0x8785bb...)對路由橋合約(0x0B4727...)傳入的參數也都來自于用戶傳入的參數。且代理合約(0x8785bb...)僅是確保了用戶傳入的 calldata 內各數據長度是否符合預期與所調用的路由橋合約是在白名單映射中的地址，未對 calldata 數據進行具體檢查。

5. 因此攻擊者利用路由代理合約、路由橋合約與權限管理合約均未對傳入的數據進行檢查的缺陷。通過路由代理合約傳入構造后的數據調用路由橋合約的 callBytes 函數。callBytes 函數解析出攻擊者指定的兌換合約與兌換數據，此時兌換合約被指定為權限管理合約地址，兌換數據被指定為調用 claimTokens 函數將指定用戶的代幣轉入攻擊者指定的地址中。實現了竊取所有對權限管理合約進行授權的用戶的代幣。

此次攻擊的主要原因在于 Transit Swap 協議在進行代幣兌換時并未對用戶傳入的數據進行嚴格檢查，導致了任意外部調用的問題。攻擊者利用此任意外部調用問題竊取了用戶對Transit Swap授權的代幣。

截止到目前，黑客已將 2,500 BNB 轉移到 Tornado Cash，剩余資金分散保留在黑客地址中。經過黑客痕跡分析發現，黑客存在從 LATOKEN 等平臺存提款的痕跡。慢霧 MistTrack 將持續跟進被盜資金的轉移以及黑客痕跡的分析。

安全團隊：Euler Finance攻擊者再次歸還約3105萬美元資金:金色財經報道，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，2023年4月4日，Euler Finance攻擊者將12,000,000個DAI和10,580個ETH歸還給了Euler項目方。

此前消息，Euler Finance攻擊者表示會陸續歸還資金。[2023/4/4 13:43:23]

安全團隊：包含遠程訪問木馬“Parallax RAT”的惡意軟件正以加密公司為目標:3月1日消息，安全分析平臺Uptycs在一份新報告中表示，加密貨幣公司正成為一項新型惡意軟件的目標，該軟件中包含了一種名為Parallax RAT的遠程訪問木馬。據悉，此軟件使用注入技術隱藏在合法進程中，很難被發現。一旦成功注入，攻擊者就可以通過Windows記事本與受害者進行互動，這可能是一個通信渠道。Parallax RAT允許攻擊者遠程訪問受感染設備，具有上傳和下載文件以及記錄擊鍵和屏幕截圖等功能。除了收集系統元數據，Parallax RAT還能夠訪問存儲在剪貼板的數據，甚至遠程重啟或關閉受感染設備。[2023/3/1 12:36:18]

分析 | 慢霧安全團隊提醒｜EOS假賬號安全風險預警:根據IMEOS報道，EOS 假賬號安全風險預警，慢霧安全團隊提醒：

如果 EOS 錢包開發者沒對節點確認進行嚴格判斷，比如應該至少判斷 15 個確認節點才能告訴用戶賬號創建成功，那么就可能出現假賬號攻擊。

攻擊示意如下：

1. 用戶使用某款 EOS 錢包注冊賬號（比如 aaaabbbbcccc），錢包提示注冊成功，但由于判斷不嚴格，這個賬號本質是還沒注冊成功

2. 用戶立即拿這個賬號去某交易所做提現操作

3. 如果這個過程任意環節作惡，都可能再搶注 aaaabbbbcccc 這個賬號，導致用戶提現到一個已經不是自己賬號的賬號里

防御建議：輪詢節點，返回不可逆區塊信息再提示成功，具體技術過程如下：

1. push_transaction 后會得到 trx_id

2. 請求接口 POST /v1/history/get_transaction

3. 返回參數中 block_num 小于等于 last_irreversible_block 即為不可逆[2018/7/16]