每分鐘可偷一輛藍寶堅尼!Solana 驚現可從各 Defi 項目不斷領錢的 26 億美元漏洞

作者 | 發布日期 2021 年 12 月 06 日 13:31 | 分類 加密貨幣 , 數位貨幣 , 資訊安全 Telegram share ! follow us in feedly


全研究團隊 Neodyme 12 月 3 日發布官方聲明表示,發現了 Solana 協議庫中有關借貸合約的嚴重漏洞,該漏洞允許攻擊者每小時竊走 2,700 萬美元,相當於每分鐘一台藍寶堅尼 Huracán,目前 Larix、Solana Labs、Solend 和 Tulip 等已經修補完畢。

價值數十億美元的漏洞

Neodyme 表示,他們最近在 Solana Program Library(SPL)中發現了一個漏洞,該漏洞允許使用者向協議提領資金時「四捨五入」到最接近整數,這只有在誤差的單位為 Lamport(類似比特幣的 Satoshi)時會發生,在通常的情況下這會讓部分的用戶損失部分差額(多拿或少拿皆然),大致平衡。

然而,對有心人而言,這小小的差額就是龐大的獲利機會。Neodyme 在 Solana 區塊鏈的副本上進行攻擊驗證,結果成功在單次交易「多拿」了 0.000001BTC(約 0.047 美元)。

據 Neodyme 估計,若真有心要大幅獲利,可以在單筆交易中執行 300 次這個漏洞,若再將許多交易一次包在同個區塊內,則「多拿」的狀況可以來到每秒 7,500 美元或每小時 2,700 萬美元的程度,這相當於每分鐘可以賺到一台藍寶堅尼 Huracán

▲ 攻擊驗證過程。(Source:Neodyme)

急通知項目修補

Neodyme 發現該漏洞遍及 Solana 上的數個 DeFi 項目,包含 Larix、Solend、Tulip、Accumen、Soda 等共 8 個借貸項目可能暴露在風險當中,總計受影響的 TVL 高達 26 億美元。

Neodyme 立刻透過 Telegram、Discord、Twitter、電子郵件等管道與項目方聯繫,結果發現 Soda、Acumen、Port 三個項目早已修補漏洞、或是尚未展開借貸服務所以不受影響。收益聚合器 Tulip 、借貸協議 Solend 和 Larix 則立刻採取行動,防止從協議取出的資金可以大於存入。

值得注意的是,該漏洞早在 2021 年 6 月 5 日便由 Neodyme 的研究員 Simon 在 Github 上公開,但由於相對可以「多拿」的資金,手續費更為高昂,缺乏攻擊效益下導致該漏洞修補未被重視。但若將盜領幣種換為比特幣等高價位代幣,則不法獲利便能蓋過手續費,12 月 1 日 Simon 見該漏洞仍未被修補,Neodyme 團隊方展開攻擊驗證。

Neodyme 對此指出:

就算四捨五入丟失一枚代幣看似無害,但這也應該被視為嚴重漏洞,

因為你永遠不知道該代幣在未來可能值多少錢。

目前攻擊行為很難被偵測到,因為攻擊過程很緩慢、可以拉到數天以上,頂多造成 APY 下降且不會觸動人和警報,這使得修補漏洞成為當務之急,Neodyme 建議項目方可以把自己加入 Solana Explorer 的已知密鑰列表中,如此便能藉由社群的力量檢核是否安全,Solana Labs 目前已修改開發參考文件,確保該漏洞不會出現於往後新誕生的項目中。

(本文由 動區動趨 授權轉載;首圖來源:shutterstock)

延伸閱讀:

關鍵字: , ,