Axion Network, 2 Kasım’da AXN olarak bilinen yeni tokenini piyasaya sürdü. Proje, varlığın bugüne kadar türünün en karlı blok zinciri olacağını iddia ederek yeni bir yatırım aracı olarak lanse etti. AXN’nin airdropuna giden ara geçiş sırasında, beş ayrı ekibin jetonun kodunu incelediği iddia edildi; CertiK ve Hacken gibi sektör sevgilileri denetimleri gerçekleştirenler arasındaydı.
Protokolün serbest davası olayından birkaç saat sonra, ancak, bir şeylerin ters gittiği ortaya çıktı. Yetkisiz bir aktör beklenmedik bir şekilde 79 milyar AXN bastı ve bunları piyasaya çıkardı. Fiyat% 99’u aşarak düştü ve saldırganlara 1300 ETH’yi netleştirdi – yayınlanma sırasında tahmini 500.000 $ değerinde.
Takip eden saatlerde Axion projesinin arkasındaki ekip, platformun resmi Telegram kanalı aracılığıyla katılımcıları varlık ile ticaret yapmaktan veya etkileşimde bulunmaktan uzak durmaya teşvik etti:
“Şu anda AXN satın almayın, kontrol paneliyle etkileşimde bulunmayın,”
Axion Network’ün Twitter hesabı aşağıdakiler dahil güncellemeler yayınlamaya devam etti:
Hala buradayız.
İstismar sırasında sahip oldukları tüm AXN / HEX2T kişi kredilendirilecektir..
Likiditeyi yedeklemek için bir likidite ödül portalı da başlatacağız.
AXN’yi mümkün olan en kısa sürede yeniden başlatmak için çok çalışıyoruz.
– Axion (@axion_network) 2 Kasım 2020
Bu güvencelere rağmen, CertiK topluma neyin yanlış gittiğini algıladıklarına dair daha net bir açıklama ve benzer saldırıların gelecekte nasıl önlenebileceğine dair içgörüler sunmak için bir adım öne çıkıyor. Cointelegraph, bize Axion Network’ün CEO’su olarak tanımlanan “Jack Durden” e e-posta yoluyla ulaştı, ancak hemen yanıt alamadı. Hiçbir ekip üyesi projenin tanıtım belgesinde veya web sitesinde listelenmez ve “Jack Durden” adı, Dövüş Kulübü filmindeki görünmeyen anlatıcıyla paylaşılır.
Bu makalenin geri kalanının, okuyucuları denetim ekibinin olanları anlaması konusunda eğitmek için bir kamu hizmeti olarak CertiK’in izniyle kelimesi kelimesine çoğaltıldığını unutmayın. Cointelegraph kodu denetlememiştir ve bundan sonra belirtilen görüşler bu nedenle sadece CertiK’e aittir..
CertiK personeli Axion fiyat düşüşünü rapor etti
2 Kasım 2020 tarihinde yaklaşık 11:00 AM + UTC Bir bilgisayar korsanı, Axion Staking sözleşmesinin unstake işlevini kullanarak yaklaşık 80 milyar AXN token basmayı başardı.
Bilgisayar korsanı daha sonra tokenleri Ether karşılığında AXN Uniswap borsasına atmaya devam etti, bu işlemi Uniswap borsası boşalıncaya ve token fiyatı 0’a getirilene kadar tekrarladı..
Saldırı gerçekleştikten birkaç dakika sonra olaydan haberdar olduk ve güvenlik analistlerimiz durumu hemen değerlendirmeye başladı.
Saldırının, OpenZeppelin bağımlılıklarından gelen kodu değiştirerek kodun yerleştirildiği sırada kötü amaçlı kod enjeksiyonu içeren muhtemelen içeriden planlandığı sonucuna vardık..
Açıktan yararlanılan işlev, Axion’un kodunu OpenZeppelin’in koduyla “düzleştirme” yoluyla birleştirdikten ve dağıtımdan önce OpenZeppelin’in koduna enjekte ettikten sonra eklendiği için, gerçekleştirdiğimiz denetimin bir parçası değildi..
Planlama
Bilgisayar korsanı, şu kaynaklardan sağlanan anonim fonları kullandı: tornado.cash saldırı gerçekleşmeden önceki gün, önceden düşünülmüş bir saldırıya işaret ediyor. Muhtemelen saldırının başarısız olması durumunda bir miktar para biriktirmek için, 2.1 Ether, hesabın parayı aldıktan hemen sonra tornado.cash’te yeniden dolaştırıldı.
Saldırı kurulumunu tamamlamak için bilgisayar korsanı etrafı satın aldı ~ 700 bin HEX2T jetonu Uniswap borsasından. Ancak, bu fonlar nihayetinde saldırının bir parçası değildi ve saldırının nasıl geliştiğine dair bir sis perdesi görevi gördü..
Kurulum
Bilgisayar korsanı, Axion Network’ün Staking sözleşmesinde “boş” bir hisse oluşturarak, 0 miktar ve 1 günlük bahis süresi ile bahis işlevini başlatarak saldırısını gerçekleştirmeye başladı. yaklaşık 09:00 AM + UTC. Bu, saldırgan için oturum kimliği 6’da 0 tutarında ve 0 paylaşım değerine sahip bir Oturum girişi oluşturdu..
Daha sonra saldırgan, saldırısının başarılı olacağını tahmin ederek Uniswap değişimine sınırsız miktarda AXN’yi önceden onayladı. Sonuç olarak, Axion’un NativeSwap sözleşmesini, AXN belirteçlerine dönüştürmeyi amaçladıkları fon miktarı için onayladılar..
NativeSwap sözleşmesinin para yatırma işlevini şu adreste başlattılar: yaklaşık 10:00 AM + UTC, ancak bilgisayar korsanı, NativeSwap sözleşmesinin swapTokenBalanceOf işlevinde açıkça görüldüğü gibi, takas edilmiş AXN’sini talep etmek için sözleşmenin geri çekme işlevini hiçbir zaman aramadı. Daha sonra, saldırıyı gerçekleştirmeden önce bir tane daha başarısız para yatırma işlevi çağrısı yaptılar..
Yürütme
Bu işlemler, sadece unstake saldırısının gerçekte nasıl gerçekleştirildiğini gösteren sis perdesiydi. Saldırganın gerçekleştirdiği işlemler, sessionDataOf eşlemesinde herhangi bir değişikliğe yol açmadığı için, bunun çok adresli bir saldırı olduğu sonucuna vardık..
Oturum VerisiOf eşlemesinin etkilenmesine neden olacak bir kusuru belirlemek için bizimle paylaşılan GitHub deposundaki sözleşmenin kaynak kodunu araştırdık.
Sözleşmelerin dağıtımının düzgün bir şekilde yürütülüp yürütülmediğini sorgulamamıza neden olan hisse işlevleri dışında kendisine veya üyelerine herhangi bir atama tespit edemedik..
Saldırı Vektörü
Dağıtılan Staking sözleşmesinin kaynak kodunu analiz ettikten sonra, AccessControl OpenZeppelin kitaplığında, L665-L671 arasındaki bir kod enjeksiyonunu saptadık. dağıtılan kaynak kodu Staking sözleşmesinin. Bağlı checkRole işlevi, OpenZeppelin v3.0.1 uygulaması, projenin GitHub deposunda bağımlılık olarak listelenen.
CheckRole işlevi içinde aşağıdaki montaj bloğu mevcuttur:
Bu özel işlev, belirli bir adresin, düşük seviyeli çağrılarla tamamladığı girdi değişkenlerine dayalı olarak sözleşmeye keyfi bir yazma yapmasına izin verir. Açıklamalı olarak, montaj bloğu şöyle görünecektir:
Bu işlev konuşlandırmada enjekte edildi OpenZeppelin AccessControl uygulamasında bulunmadığından, bu, belirtecin dağıtılmasına dahil olan Axion Network üyelerinin kötü niyetli davrandığı anlamına gelir.
Sonuç
Saldırı, protokolün konuşlandırılmasından önce kasıtlı olarak enjekte edilen kodu kullandı. Bu olay CertiK tarafından yapılan denetimlerle hiçbir ilgisi yoktur ve saldırıdan sorumlu taraf, Axion Network sözleşmelerinin konuşlandırılmasına karışmış görünen bir kişiydi..
Ek bir güvenlik derecesi olarak, denetim raporları, kaynak kodunun denetlenenle aynı olduğu doğrulanan konuşlandırılmış akıllı sözleşme adreslerini içerecek şekilde standartlaştırılmalıdır..
Güvenlik Oracle Denetlenen sürümlerle eşleşecek şekilde konuşlandırılan akıllı sözleşmelerin doğrulanmasını içeren güvenlik kontrollerini yürüten güvenlik istihbaratının zincir üzerinde aktarıcısı olarak hizmet eder.