Equipo de seguridad: el método de verificación de transacciones entre cadenas de BSC Token Hub tiene lagunas

[Equipo de seguridad: el método de verificación de transacciones de cadena cruzada de BSC Token Hub tiene lagunas] Según las noticias del 7 de octubre, según el monitoreo de la plataforma Beosin EagleEye, BSC Token Hub fue atacado por piratas informáticos el 7 de octubre. El equipo de seguridad de Beosin ahora analizará el método de la siguiente manera: al verificar transacciones entre cadenas, BSC Token Hub utiliza un contrato precompilado especial para verificar el árbol IAVL. Sin embargo, hay una laguna en esta implementación, que puede permitir que un atacante falsifique mensajes arbitrarios.

1) El atacante primero selecciona el valor hash de un bloque enviado con éxito (bloque especificado: 110217401)

2) Luego construya una carga útil de ataque como un nodo de hoja en el árbol IAVL verificado

3) Agregar un nuevo nodo hoja arbitrario al árbol IAVL

4) Al mismo tiempo, agregue un nodo interno en blanco para satisfacer la prueba de realización

5) Ajuste el nodo de hoja agregado en el paso 3 para que el hash raíz calculado sea igual al hash raíz correcto seleccionado en el paso 1 para un envío exitoso

6) Finalmente construya la prueba de retiro de este bloque específico (110217401)

Beosin Trace rastrea en tiempo real los fondos robados.

Otras noticias:

Equipo de seguridad: una ballena gigante extrae 2000 BTC de MakerDAO: Jinse Finance informó que, según el monitoreo de Paidun, una ballena gigante extrajo 2000 BTC de MakerDAO. [2022/11/25 8:06:37]

Equipo de seguridad: los fondos de Team Finance se dañaron o se debieron a una implementación deficiente del contrato: Jinse Finance informó que, según el monitoreo de Okey Cloud Chain, además de las lagunas del contrato en el ataque en el incidente de seguridad de Team Finance, la implementación del contrato de migración de Uniswap V3 no fue riguroso o causado es una de las principales causas de pérdida.

Como se informó anteriormente, Team Finance afirmó que se robaron $ 14.5 millones en Token y que el protocolo se suspendió temporalmente. [2022/10/28 11:53:10]

Equipo de seguridad: el servidor Discord del proyecto NFT Mimi's Adventure fue pirateado: según las noticias del 6 de julio, el equipo de seguridad CertiK tuiteó hoy que el servidor Discord del proyecto NFT Mimi's Adventure fue pirateado, recordando a los usuarios que no hagan clic en ningún enlace. [2022/7/6 1:54:21]