Cointime

扫码下载App
iOS & Android

Biswap V3Migrator合约漏洞百出,假代币攻击让用户赔惨了

项目方

2023年7月1日,一名攻击者利用Binance智能链(BSC)上的Biswap V3Migrator合约的一个漏洞,从毫无戒心的用户那里窃取了价值约14万美元的代币。攻击者使用了假代币攻击,来操纵迁移函数的参数,并从授权了他们流动性提供者(LP)代币给V3Migrator合约的用户那里吸走流动性。之所以能够实施这种攻击,是因为V3Migrator合约在从Biswap V2迁移到Biswap V3时没有验证参数。倘若该攻击在当时未被及时阻止,将为Biswap带来近千万美元的资产损失。

交易

攻击者执行了三笔交易来进行攻击:https://bscscan.com//tx/0xe13ec0941580d3c286b46fa6566f20195bdd52b3d65fc7ff4a953a8fc774c6c4

https://bscscan.com//tx/0xe5c89e9ac217e4e16c2399f3597f7b5fbb73b45c1d3360788ee51ea2561def3a

https://bscscan.com//tx/0x8693a95f8481ba02ceaabed8e95b4e1eb8ac589c69c027c96b12ac5295714c3f

攻击者

攻击者的地址是[0xa1e31b29f94296fc85fac8739511360f279b1976]

攻击合约

攻击合约是[0x1d448e9661c5abfc732ea81330c6439b0aa449b5]这个合约是在2023年6月30日,也就是攻击前一天由攻击者部署的。该合约有一个简单的逻辑,就是用不同的参数调用V3Migrator合约。

被攻击合约

被攻击合约是[0x839b0afd0a0528ea184448e890cbaaffd99c1dbf]这是Biswap于2023年6月28日部署的V3Migrator合约。该合约旨在帮助用户将他们的LP代币从Biswap V2迁移到Biswap V3。

攻击步骤

攻击者利用了V3Migrator合约中的一个缺陷,使他们能够篡改迁移函数的参数,攻击步骤如下:

  1. 受害者授权了LP代币给Biswap V3Migrator合约;
  2. 攻击者烧毁了受害者的V2 LP代币,并用假代币添加了V3流动性。在这一步,V2 LP的token0token1仍然在V3Migrator合约中;
  3. 攻击者烧毁了假的V2 LP代币,并用V2 LP的token0token1添加了V3流动性, 没有用于添加V3流动性的多余的token0token1被转回给了攻击者。同时,这一步中的V3流动性也属于攻击者。

根本原因

造成攻击的根本原因是Biswap的V3Migrator合约在从Biswap V2迁移到Biswap V3时没有验证参数。具体来说,合约中有一个重要问题:

  • 合约没有验证token0token1参数是否与V2 LP代币中的实际代币相匹配;

这些问题使得攻击者能够向迁移函数传递假代币和数量,并从授权了LP代币给V3Migrator合约的用户那里窃取真实代币。

Key Code

受损资产

攻击者[0xa1e31b29f94296fc85fac8739511360f279b1976] 非法获取了高达14万美元的资产

资金流向

攻击者撤走流动性用以换取$BNB

最终,攻击者将603个$BNB 转入Tornadocash进行了洗钱操作

PoC

https://github.com/SunWeb3Sec/DeFiHackLabs/blob/main/src/test/Biswap_exp.sol

安全建议

强烈建议用户取消Biswap V3Migrator的授权:https://bscscan.com/tokenapprovalchecker

结论

Biswap的攻击事件是一个典型的例子,假代币攻击充分利用BSC上的DEX漏洞收割用户和项目方的资金。该攻击也突显了验证处理用户资金的合约的参数和余额的重要性,用户在授权代币给第三方合约时也应该小心谨慎,并在使用之前检查合约的源代码和审计报告。作为Web3头部安全公司,MetaTrust Labs在7月1日首先发现了这次攻击并在Twitter上向Biswap发送警报。Biswap也采纳了MetaTrust Labs提出的2个应对策略:

  • 尽快要求用户撤销对V3Migrator合约的授权,这样攻击者就无法再访问他们的LP代币;
  • 删除他们自己发布的推广V3迁移并告知用户迁移LP代币收益的推文

如果这次攻击没有及时制止,Biswap的所有迁移合约都将遭受数千万美元的损失,因为攻击者可以用假代币将所有流动性从Biswap V2迁移到Biswap V3,这对Biswap及其用户来说将是一个毁灭性的打击,也是BSC上DEX发展的一个严重挫折。

Follow Us

Twitter: @MetaTrustLabs

Website: metatrust.io

评论

所有评论

推荐阅读

  • IPO在即,灰度创始人Barry Silbert回归出任董事会主席

    Grayscale Investments 在提交保密 IPO 申请后,宣布四项高管任命并迎回创始人 Barry Silbert 担任董事会主席。新任命的高管包括:首席运营官 Diana Zhang、首席营销官拉蒙娜·波士顿 Ramona Boston、首席传讯官 Andrea Williams、首席人力资源官 Maxwell Rosenthal。四位高管都将向灰度首席执行官 Peter Mintzberg 汇报,他们均来自传统金融巨头,包括桥水基金、阿波罗全球管理、高盛和城堡投资。 Barry Silbert 于 2013 年创立灰度,于 2023 年底辞去灰度董事长一职,此次将接替 Mark Shifke 担任董事会主席,Shifke 将继续留任董事会,目前董事会成员已增至五人。公司表示正在考虑增加独立董事。 Barry Silbert 表示:「我很荣幸能够在公司乃至更广泛的数字资产生态系统的关键时刻重新加入灰度董事会。我始终坚信公司的长期定位以及引领公司前进的领导团队。」

  • SharpLink Gaming增持18,680枚以太坊,总持有498,884枚

    据链上分析师 Onchain Lens 监测,SharpLink Gaming(股票代码:SBET)今日再次增持18,680枚以太坊,价值约6,663万美元。此次增持后,该公司以太坊储备总量达到498,884枚,总价值约18亿美元。

  • Bullish向美国证交会提交IPO申请,拟募资6.29亿美元

    数字资产交易所Bullish及其子公司CoinDesk已向美国证券交易委员会(SEC)提交首次公开募股(IPO)申请。根据申请文件,Bullish计划发行2030万股,发行价区间为28-31美元/股,最高募资金额为6.29亿美元,对应公司估值约42亿美元。 Bullish业务范围包括数字资产现货交易、杠杆交易和衍生品交易,同时为稳定币发行机构提供流动性服务。财务数据显示,该公司2025年第一季度数字资产销售额达8020万美元,净亏损3.49亿美元。Bullish曾于2023年以7260万美元收购加密货币媒体平台CoinDesk。

  • 欧盟将对美国的贸易反制措施暂停6个月

    市场消息:欧盟将对美国的贸易反制措施暂停6个月

  • 去中心化操作系统 OpenMind 完成 2000 万美元融资,Pantera Capital 领投

    智能机器去中心化操作系统 OpenMind 宣布完成 2000 万美元融资,Pantera Capital 领投,Coinbase Ventures、Digital Currency Group 和 Ribbit 等参投。 据悉,这家初创公司正在开发一款名为 FABRIC 的“硬件无关”操作系统,旨在支持“智能机器融入日常生活”。该协议为支持人工智能的机器人提供了一种通信和协调的方式。

  • 加强个人境外收入监管 境外买卖股票收入也要缴税

    《金融时报》刊文,据了解,近期有纳税人收到了税务部门通知,告知其需要依法办理境外所得申报并缴纳相应税款。“根据我国个人所得税法,个人股票交易所得属于财产转让所得,应当适用20%的税率按次征收。其中,个人在境内二级市场的股票交易所得暂免征收个人所得税;在境外直接进行股票交易所得没有免税规定,需要在取得所得的次年申报纳税。”吉林财经大学税务学院院长张巍解释说。为了更加合理的征收,我国税务部门在征管时,允许纳税人按照纳税年度盈亏相抵,但不允许跨年互抵。依法纳税是每个公民应尽的义务。个人未申报或者未如实申报境外所得,除了会被税务机关要求补缴税款外,还会被加收滞纳金,情形严重的还可能被稽查部门立案检查,将面临税务处罚。纳税人如果发现自己此前申报个税时,存在少报、漏报境外所得的,要及时补正。

  • 美国SEC文件显示特斯拉批准向马斯克授予9600万股股票奖励

    美国SEC文件显示:特斯拉(TSLA.O)批准向马斯克授予9600万股股票奖励,马斯克将按每股23.34美元的价格购买已获授股票。

  • Binance Alpha:持有至少 200 币安 Alpha 积分的用户可申领 1000 个 DARK 代币空投

    据官方公告,Binance Alpha 是首个上线 DarkStar(DARK)的平台,Alpha 交易将于 2025 年 8 月 4 日 20:00(UTC+8)开始。 交易开始后,持有至少 200 个币安 Alpha 积分的用户可申领 1000 个 DARK 代币空投。先到先得。若活动未结束,则分数门槛将每小时自动降低 15 分。 请注意,申领空投将消耗 15 个币安 Alpha 积分。用户需在 Alpha 活动页面于 24 小时内确认申领,否则视为放弃领取空投。

  • 香港《稳定币条例》正式生效:储备资产须全额覆盖流通面值

    8月1日,香港《稳定币条例》正式生效,建立起稳定币发行人牌照制度,完善香港对虚拟资产活动的监管框架。大湾区国际资讯科技协会会长杨德斌表示,如今国际上稳定币的发展已经达到一定规模。香港在这个时点推出《稳定币条例》,是在监管方面与时俱进的体现。与国际标准接轨,中国香港在制定稳定币相关规定时也力求与全球其他国家和地区的标准接轨。根据香港《稳定币条例》,持牌人必须确保其发行的指定稳定币的储备资产的市值,始终不低于该类稳定币尚未赎回且流通中的面值。持牌人应考虑储备资产的风险状况,确保有适当的超额抵押以覆盖市场风险。

  • 对话Ethena创始人:揭秘Ethena的增长密码与市场洞察

    Ethena进军国债业务,USD资产创新解决加密资金流动,监管顺风助力增长。