লেখক: Beosin
1 জানুয়ারি, 2023 এর সকালে, 5 বছর আগে Truebit Protocol দ্বারা সংরক্ষিত এবং অপেন সোর্স না করা স্মার্ট কন্ট্রাক্ট হ্যাক হয়েছে এবং 8,535.36 ETH (প্রায় 26.4 মিলিয়ন মার্কিন ডলার) ক্ষতি হয়েছে। Beosin সিকিওরিটি টিম এই সিকিওরিটি ঘটনার সম্ভাব্য সুরক্ষা সমস্যা এবং অর্থ অনুসরণ করে বিশ্লেষণ করেছে এবং ফলাফল নিম
আক্রমণের পদ্ধতি
আমরা এই ঘটনার বিশ্লেষণে প্রধান একটি আক্রমণ লেনদেন নিয়ে আলোচনা করব। লেনদেনের হ্যাশ: 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014
1. আক্রমণকারী getPurchasePrice () কে কল করে মূল্য পেতে।
2. তারপর 0xa0296215() ফাংশনটি কল করা হয় যাতে সমস্যা রয়েছে এবং msg.value এর মান খুব কম হিসাবে সেট করা হয়।
যেহেতু কনট্রাক্টটি অপেন সোর্স নয়, তাই বিপরীত সংকলনের মাধ্যমে কোড থেকে অনুমান করা হয়েছে যে এই ফাংশনটি অ্যারিথমেটিক লজিক সমস্যা রয়েছে, যেমন পূর্ণসংখ্যা কাটা সমস্যা ঘটেছে, যার ফলে আক্রমণকার
3. আক্রমণকারী বার্ন ফাংশন ব্যবহার করে মুদ্রিত মুদ্রা কন্ট্রাক্টে ফিরিয়ে দেয় এবং কন্ট্রাক্ট রিজার্ভ থেকে বড় পরিমাণে ইথ পুনরুদ্ধার করে।
এই প্রক্রিয়াটি 4 বার পুনরাবৃত্তি করা হয়, প্রতিবার msg.value মান বৃদ্ধি করে, যতক্ষণ না কন্ট্রাক্টে থাকা ইথার প্র
চুরি হওয়া অর
ব্লকচেইনের স্থানীয় লেনদেনের ডেটা অনুসারে, Beosin তার ব্লকচেইন স্থানীয় অনুসন্ধান এবং ট্র্যাকিং প্ল্যাটফর্ম BeosinTrace ব্যবহার করে বিস্তারিত অর্থ অনুসরণ করেছে এবং নীচ
বর্তমানে, চুরি হওয়া 8,535.36 ETH এর অধিকাংশ পরিমাণ যথাক্রমে 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 এবং 0x273589ca3713e7becf42069f9fb3f0c164ce850a এ স্থানান্তরিত হয়েছে।
যে ঠিকানায় আক্রমণ শুরু হয়েছিল (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) তাতে 267.71 টি ইথার রয়েছে। ঠিকানা 0xd12f-এ 4,267.09 ইথার এবং ঠিকানা 0x2735-এ 4,001 ইথার রয়েছে। তিনটি ঠিকানার কোনটিতেই আরও অর্থ স্থানান্তর হয়নি।
চুরি করা অর্থের প্রবাহ বিশ্লেষণের চিত্র, Beosin Trace দ্বা�
উপরের ঠিকানাগুলি Beosin KYT দ্বারা উচ্চ ঝুঁকি সংক্রান্ত ঠিকানা হিসাবে চিহ্নিত করা হয়েছে, আক্রমণকারী ঠিকা�
বিওসিন কে.ওয়াই.টি.
সমাপ্তি
প্রতিস্থানটি যে স্মার্ট কনট্রাক্ট ব্যবহার করেছে তা 5 বছর আগে অপেন সোর্স করা হয়নি। এই ধরনের কনট্রাক্টগুলির জন্য, প্রতিস্থানটি কনট্রাক্টগুলি আপগ্রেড করা উচিত, যেমন সাময়িক স্থগিতি, প্যারামিটার সীমা এবং নতুন সলিডিটি সংস্করণের নিরাপত্তা বৈশিষ্ট্যগুলি যুক্ত করা উচিত। এছাড়াও, নিরাপত্তা পরীক্ষা কনট্রাক্টের অপরিহার্য অংশ। নিরাপত্তা পরীক্ষা করে, ওয়েব3 কোম্�
*বিওসিন সম্পূর্ণ অর্থপ্রবাহ এবং ঠিকানা ঝুঁকি বিশ্লেষণ প্রতিবেদন প্রদান করবে, আপনি স্বাগত জানাই আমাদের অফিসিয়াল ইমেইল support@beosin.com এর মাধ্যমে প্রাপ্ত হত