Analisis Kasus Serangan Hacker pada Protokol Poly Network
Baru-baru ini, protokol interoperabilitas lintas rantai Poly Network mengalami serangan Hacker, yang memicu perhatian luas di industri. Tim keamanan telah melakukan analisis mendalam terhadap insiden ini dan percaya bahwa penyerang berhasil mengubah alamat keeper dari kontrak EthCrossChainData dengan membangun data secara cerdik, bukan karena kebocoran kunci pribadi keeper seperti yang sebelumnya dirumorkan.
Inti Serangan
Kunci serangan terletak pada fungsi verifyHeaderAndExecuteTx dalam kontrak EthCrossChainManager. Fungsi ini dapat mengeksekusi transaksi lintas rantai tertentu melalui fungsi _executeCrossChainTx. Karena pemilik kontrak EthCrossChainData adalah kontrak EthCrossChainManager, maka yang terakhir dapat memanggil fungsi putCurEpochConPubKeyBytes milik yang pertama untuk mengubah keeper kontrak.
Penyerang memanfaatkan fungsi verifyHeaderAndExecuteTx, dengan memasukkan data yang dirancang dengan cermat, sehingga fungsi _executeCrossChainTx memanggil fungsi putCurEpochConPubKeyBytes dari kontrak EthCrossChainData, yang pada gilirannya mengubah peran keeper menjadi alamat yang ditentukan oleh penyerang. Setelah langkah ini selesai, penyerang dapat dengan bebas membangun transaksi dan menarik sejumlah dana yang diinginkan dari kontrak.
Proses Serangan
Penyerang pertama-tama memanggil fungsi putCurEpochConPubKeyBytes melalui fungsi verifyHeaderAndExecuteTx dari kontrak EthCrossChainManager, mengubah keeper.
Setelah itu, penyerang mulai melaksanakan serangkaian transaksi serangan untuk menarik dana dari kontrak.
Karena keeper telah dimodifikasi, transaksi normal pengguna lain ditolak untuk dieksekusi.
Metode serangan serupa juga telah diterapkan di jaringan Ethereum.
Kesimpulan
Penyebab mendasar dari serangan ini adalah bahwa keeper dari kontrak EthCrossChainData dapat dimodifikasi oleh kontrak EthCrossChainManager, sementara fungsi verifyHeaderAndExecuteTx dari yang terakhir dapat mengeksekusi data yang diberikan oleh pengguna. Penyerang memanfaatkan celah ini dengan menyusun data tertentu, berhasil mengubah alamat keeper dari kontrak EthCrossChainData. Penemuan ini mengklarifikasi rumor salah sebelumnya mengenai kebocoran kunci privat keeper.
Peristiwa ini sekali lagi menyoroti pentingnya keamanan protokol lintas rantai. Untuk sistem kontrak pintar yang kompleks, terutama proyek yang melibatkan operasi lintas rantai, diperlukan audit keamanan dan evaluasi risiko yang lebih ketat. Selain itu, ini juga mengingatkan pengembang proyek blockchain untuk lebih memperhatikan manajemen hak akses dan masalah validasi data, untuk mencegah kerentanan keamanan serupa dimanfaatkan.
Lihat Asli
Halaman ini mungkin berisi konten pihak ketiga, yang disediakan untuk tujuan informasi saja (bukan pernyataan/jaminan) dan tidak boleh dianggap sebagai dukungan terhadap pandangannya oleh Gate, atau sebagai nasihat keuangan atau profesional. Lihat Penafian untuk detailnya.
15 Suka
Hadiah
15
5
Posting ulang
Bagikan
Komentar
0/400
failed_dev_successful_ape
· 6jam yang lalu
gg teman lama terkunci oleh rantai
Lihat AsliBalas0
OnChainArchaeologist
· 6jam yang lalu
Uangnya dicuri terlalu banyak, pergi pergi.
Lihat AsliBalas0
retroactive_airdrop
· 6jam yang lalu
Sepanjang hari diserang terus
Lihat AsliBalas0
TeaTimeTrader
· 6jam yang lalu
Jangan berpura-pura lagi, semuanya adalah pengkhianat.
Lihat AsliBalas0
DeadTrades_Walking
· 6jam yang lalu
smart contract juga tidak ada gunanya setiap hari dibobol
Mengungkap Alasan Serangan Hacker Poly Network: Keeper kontrak EthCrossChainData telah dimanipulasi
Analisis Kasus Serangan Hacker pada Protokol Poly Network
Baru-baru ini, protokol interoperabilitas lintas rantai Poly Network mengalami serangan Hacker, yang memicu perhatian luas di industri. Tim keamanan telah melakukan analisis mendalam terhadap insiden ini dan percaya bahwa penyerang berhasil mengubah alamat keeper dari kontrak EthCrossChainData dengan membangun data secara cerdik, bukan karena kebocoran kunci pribadi keeper seperti yang sebelumnya dirumorkan.
Inti Serangan
Kunci serangan terletak pada fungsi verifyHeaderAndExecuteTx dalam kontrak EthCrossChainManager. Fungsi ini dapat mengeksekusi transaksi lintas rantai tertentu melalui fungsi _executeCrossChainTx. Karena pemilik kontrak EthCrossChainData adalah kontrak EthCrossChainManager, maka yang terakhir dapat memanggil fungsi putCurEpochConPubKeyBytes milik yang pertama untuk mengubah keeper kontrak.
Penyerang memanfaatkan fungsi verifyHeaderAndExecuteTx, dengan memasukkan data yang dirancang dengan cermat, sehingga fungsi _executeCrossChainTx memanggil fungsi putCurEpochConPubKeyBytes dari kontrak EthCrossChainData, yang pada gilirannya mengubah peran keeper menjadi alamat yang ditentukan oleh penyerang. Setelah langkah ini selesai, penyerang dapat dengan bebas membangun transaksi dan menarik sejumlah dana yang diinginkan dari kontrak.
Proses Serangan
Penyerang pertama-tama memanggil fungsi putCurEpochConPubKeyBytes melalui fungsi verifyHeaderAndExecuteTx dari kontrak EthCrossChainManager, mengubah keeper.
Setelah itu, penyerang mulai melaksanakan serangkaian transaksi serangan untuk menarik dana dari kontrak.
Karena keeper telah dimodifikasi, transaksi normal pengguna lain ditolak untuk dieksekusi.
Metode serangan serupa juga telah diterapkan di jaringan Ethereum.
Kesimpulan
Penyebab mendasar dari serangan ini adalah bahwa keeper dari kontrak EthCrossChainData dapat dimodifikasi oleh kontrak EthCrossChainManager, sementara fungsi verifyHeaderAndExecuteTx dari yang terakhir dapat mengeksekusi data yang diberikan oleh pengguna. Penyerang memanfaatkan celah ini dengan menyusun data tertentu, berhasil mengubah alamat keeper dari kontrak EthCrossChainData. Penemuan ini mengklarifikasi rumor salah sebelumnya mengenai kebocoran kunci privat keeper.
Peristiwa ini sekali lagi menyoroti pentingnya keamanan protokol lintas rantai. Untuk sistem kontrak pintar yang kompleks, terutama proyek yang melibatkan operasi lintas rantai, diperlukan audit keamanan dan evaluasi risiko yang lebih ketat. Selain itu, ini juga mengingatkan pengembang proyek blockchain untuk lebih memperhatikan manajemen hak akses dan masalah validasi data, untuk mencegah kerentanan keamanan serupa dimanfaatkan.