跨鏈協議的漏洞，內心善良的黑客賠償受害者

以太坊的羅賓漢？白帽黑客將269 ETH 歸還給受攻擊影響的用戶。去中心化金融為加密生態系統帶來了許多創新。然而，由於智能合約是公開的，黑客非常容易識別合約中的缺陷。這種資訊情況在 2021 年全年不斷發生。

Multichain 上的一個嚴重漏洞

跨鏈協議 Multichain，以前稱為AnySwap ，是一種所謂的跨鏈DeFi 協議，因為它一次可以跨多個區塊鏈進行擴展。在實踐中，這允許資金通過橋從一個區塊鏈發送到另一個區塊鏈。

1 月 17 日，多鏈協議發出警告用戶協議中存在嚴重缺陷。在實踐中，該漏洞影響了 6 種不同的代幣，即 WETH、PERI、OMT、WBNB、MATIC 和 AVAX 代幣。

故事始於 Multichain宣布存在一個漏洞，該漏洞使多個賬戶容易受到惡意實體的攻擊。該協議背後的團隊敦促其用戶撤銷對六種代幣的批准——WETH、PERI、OMT、WBNB、MATIC 和 AVAX，以保護他們的資產，這一行動不可避免地促使黑客湧入並利用該漏洞。

-廣告-

4. Send onchain alert message to affected addresses
5. Alert banners go live at Etherscan, Polygonscan, BSCscan
6. 24/7 support service at our Help Center (submit ticket: https://https://t.co/fxuPlNLXLh)
— Multichain (Previously Anyswap) (@MultichainOrg) January 20, 2022

在發佈公告時，協議開發人員宣布該漏洞已得到修復。後者然後確保 V2 和 V3 橋樑的所有資產都是安全的。

數百萬從 Multichain 被盜

不幸的是，似乎 1 月 17 日發現的漏洞並不是多鏈合約中唯一存在的漏洞。

因此，在 1 月 18 日，專門從事區塊鏈分析的 Peckshield 公司收到了關於 Multichain 上被利用的漏洞的警報。

在實踐中，一些錢包利用了合約中存在的缺陷。目前無法知道這些錢包是否是一個或多個攻擊者的結果。

事實上，該漏洞影響了anySwapOutUnderlyingWithPermit 函數。因此，在使用 WETH 時，它沒有提供使用資金的許可檢查。

“攻擊者利用這個問題構造了一個惡意的token地址，所以該函數獲得的底層是WETH。另一方面，之前將 WETH 代幣授權給 AnyswapV4Router 合約的用戶的 WETH 被直接轉移到攻擊者惡意構建的代幣地址中。
ZenGo聯合創始人Tal Be’ery

據稱，以太坊上的幾個不同地址總共竊取了超過300 萬美元。

內心善良的白帽黑客

事件發生幾個小時後，參與攻擊的其中一個地址通過以太坊交易發送消息聯繫了協議開發人員。

我是白帽，把你失去財富的交易發給我，我會給你80%。其餘的將用作小費，以感謝我保護您的錢。

很快，開發人員回復了攻擊者，並提供了將資金發送到的地址。

其中一名自稱為“白帽子”的黑客一直在與 Multichain 和一名在過去一天左右損失 960,000 美元的用戶進行溝通，以協商返還 80% 的資金以換取高額的發現者費用。最終，這些資金通過四筆交易退回。1 月 20 日，黑客通過兩筆交易將 269 ETH（813,000 美元）直接返還給了他竊取的用戶，並保留了 50 ETH（150,000 美元）的漏洞賞金：