被盗1亿美元，验证者节点安全如何保障——Harmony被攻击事件分析
liebian365 2024-10-22 15:35 29 浏览 0 评论
2022年6月24日，成都链安链必应-区块链安全态势感知平台舆情监测显示，由Layer1公链Harmony开发的以太坊与Harmony间的资产跨链桥Horizon遭到攻击，损失金额约为1亿美元。目前Harmony官方已通知交易所并暂停了Horizon跨链桥。成都链安安全团队对此事件进行了分析，现与大家分享。
#事件背景
Harmony Bridge是一个跨链桥项目，由五个验证者节点进行操作验证，本次攻击主要原因是由于两个验证者节点的私钥疑似泄露，导致合约的confirmTransaction函数被成功调用。
#攻击过程
攻击者地址：
0x0d043128146654C7683Fbf30ac98D7B2285DeD00
私钥疑似泄露地址：
0xf845A7ee8477AD1FB4446651E548901a2635A915
0x812d8622C6F3c45959439e7ede3C580dA06f8f25
被攻击合约：
0x715cdda5e9ad30a0ced14940f9997ee611496de6
示例哈希：
0x6e5251068aa99613366fd707f3ed99ce1cb7ffdea05b94568e6af4f460cecd65
被攻击的transactionId:
21106-21118(eth),120515-120518(bsc)
私钥泄露地址0x812d......8f25地址调用了0x715c......6de6合约的confirmTransaction函数进行操作验证，此处我们以被攻击的transactionId：21107进行分析。
可以发现在本次交易中，isConfirmed的验证返回为true。
但是我们在合约中进行验证者节点查询会发现，虽然owner有五个，但是仅有两名验证者进行了验证。
攻击者就利用这两个验证者节点成功使用external_call获取了相应的代币，并反复利用此攻击来获利。
后续项目方通过transactionId为21126的交易（BSC上为120531）将验证者节点confirm通过的数量从2改为了4。
#资金追踪
本次攻击事件以太坊上损失了85,867个ETH，990个AAVE和78,500,000个AAG，BSC上损失了5,000个BNB和640,000个BUSD，共计约100,428,116美元，目前被盗资金还保存在攻击者地址。成都链安将用链必追对被盗资金进行持续追踪。
#事件总结
这次攻击事件中，攻击者利用了验证者节点验证通过需求数量较少的情况，利用两个验证者节点从而盗取了上亿美金的资产。建议项目方在设计验证者节点验证数量需求尽量选择较多节点，并且做好验证者节点的节点安全。此外建议项目上线前选择专业的安全审计公司进行全面的安全审计，规避安全风险。
相关推荐
- “版本末期”了?下周平衡补丁!国服最强5套牌!上分首选
-
明天，酒馆战棋就将迎来大更新，也聊了很多天战棋相关的内容了，趁此机会，给兄弟们穿插一篇构筑模式的卡组推荐！老规矩，我们先来看10职业胜率。目前10职业胜率排名与一周前基本类似，没有太多的变化。平衡补丁...
- VS2017 C++ 程序报错“error C2065:“M_PI”: 未声明的标识符"
-
首先，程序中头文件的选择，要选择头文件，在文件中是没有对M_PI的定义的。选择：项目——>”XXX属性"——>配置属性——>C/C++——>预处理器——>预处理器定义，...
- 东营交警实名曝光一批酒驾人员名单 88人受处罚
-
齐鲁网·闪电新闻5月24日讯酒后驾驶是对自己和他人生命安全极不负责的行为，为守护大家的平安出行路，东营交警一直将酒驾作为重点打击对象。5月23日，东营交警公布最新一批饮酒、醉酒名单。对以下驾驶人醉酒...
- Qt界面——搭配QCustomPlot（qt platform）
-
这是我第一个使用QCustomPlot控件的上位机，通过串口精确的5ms发送一次数据，再将读取的数据绘制到图表中。界面方面，尝试卡片式设计，外加QSS简单的配了个色。QCustomPlot官网：Qt...
- 大话西游2分享赢取种族坐骑手办!PK趣闻录由你书写
-
老友相聚，仗剑江湖！《大话西游2》2021全民PK季4月激燃打响，各PK玩法鏖战齐开，零门槛参与热情高涨。PK季期间，不仅各种玩法奖励丰厚，参与PK趣闻录活动，投稿自己在PK季遇到的趣事，还有机会带走...
- 测试谷歌VS Code AI 编程插件 Gemini Code Assist
-
用ClaudeSonnet3.7的天气测试编码，让谷歌VSCodeAI编程插件GeminiCodeAssist自动编程。生成的文件在浏览器中的效果如下：（附源代码）VSCode...
- 顾爷想知道第4.5期 国服便利性到底需优化啥?
-
前段时间DNF国服推出了名为“阿拉德B计划”的系列改版计划，截至目前我们已经看到了两项实装。不过关于便利性上，国服似乎还有很多路要走。自从顾爷回归DNF以来，几乎每天都在跟我抱怨关于DNF里面各种各样...
- 掌握Visual Studio项目配置【基础篇】
-
1.前言VisualStudio是Windows上最常用的C++集成开发环境之一，简称VS。VS功能十分强大，对应的，其配置系统较为复杂。不管是对于初学者还是有一定开发经验的开发者来说，捋清楚VS...
- 还嫌LED驱动设计套路深?那就来看看这篇文章吧
-
随着LED在各个领域的不同应用需求,LED驱动电路也在不断进步和发展。本文从LED的特性入手，推导出适合LED的电源驱动类型，再进一步介绍各类LED驱动设计。设计必读：LED四个关键特性特性一：非线...
- Visual Studio Community 2022(VS2022)安装图文方法
-
直接上步骤：1，首先可以下载安装一个VisualStudio安装器，叫做VisualStudioinstaller。这个安装文件很小，很快就安装完成了。2，打开VisualStudioins...
- Qt添加MSVC构建套件的方法（qt添加c++11）
-
前言有些时候，在Windows下因为某些需求需要使用MSVC编译器对程序进行编译，假设我们安装Qt的时候又只是安装了MingW构建套件，那么此时我们该如何给现有的Qt添加一个MSVC构建套件呢？本文以...
- Qt为什么站稳c++GUI的top1（qt c）
-
为什么现在QT越来越成为c++界面编程的第一选择，从事QT编程多年，在这之前做C++界面都是基于MFC。当时为什么会从MFC转到QT？主要原因是MFC开发界面想做得好看一些十分困难，引用第三方基于MF...
- qt开发IDE应该选择VS还是qt creator
-
如果一个公司选择了qt来开发自己的产品，在面临IDE的选择时会出现vs或者qtcreator，选择qt的IDE需要结合产品需求、部署平台、项目定位、程序猿本身和公司战略，因为大的软件产品需要明确IDE...
- Qt 5.14.2超详细安装教程，不会来打我
-
Qt简介Qt（官方发音[kju:t]，音同cute）是一个跨平台的C++开库，主要用来开发图形用户界面（GraphicalUserInterface，GUI）程序。Qt是纯C++开...
- Cygwin配置与使用(四)——VI字体和颜色的配置
-
简介：VI的操作模式，基本上VI可以分为三种状态，分别是命令模式（commandmode）、插入模式（Insertmode）和底行模式（lastlinemode），各模式的功能区分如下：1)...
欢迎 你 发表评论:
- 一周热门
- 最近发表
-
- “版本末期”了?下周平衡补丁!国服最强5套牌!上分首选
- VS2017 C++ 程序报错“error C2065:“M_PI”: 未声明的标识符"
- 东营交警实名曝光一批酒驾人员名单 88人受处罚
- Qt界面——搭配QCustomPlot（qt platform）
- 大话西游2分享赢取种族坐骑手办!PK趣闻录由你书写
- 测试谷歌VS Code AI 编程插件 Gemini Code Assist
- 顾爷想知道第4.5期 国服便利性到底需优化啥?
- 掌握Visual Studio项目配置【基础篇】
- 还嫌LED驱动设计套路深?那就来看看这篇文章吧
- Visual Studio Community 2022(VS2022)安装图文方法
- 标签列表
-
- wireshark怎么抓包 (75)
- qt sleep (64)
- cs1.6指令代码大全 (55)
- factory-method (60)
- sqlite3_bind_blob (52)
- hibernate update (63)
- c++ base64 (70)
- nc 命令 (52)
- wm_close (51)
- epollin (51)
- sqlca.sqlcode (57)
- lua ipairs (60)
- tv_usec (64)
- 命令行进入文件夹 (53)
- postgresql array (57)
- statfs函数 (57)
- .project文件 (54)
- lua require (56)
- for_each (67)
- c#工厂模式 (57)
- wxsqlite3 (66)
- dmesg -c (58)
- fopen参数 (53)
- tar -zxvf -c (55)
- 速递查询 (52)