1월 28일, QBridge가 공격을 받아 약 8천만 달러 상당의 자산이 탈취되었습니다. 분석 결과, 코드의 근본 원인은 safeTransfer (및 safeTransferFrom) 함수의 구현 방식에 있었습니다.
근본 원인
첫째, 해당 프로젝트는 토큰 전송에 널리 사용되는 OpenZeppelin의 SafeERC20 라이브러리를 사용하지 않았습니다. 대신 SafeToken이라는 라이브러리를 자체적으로 구현했습니다.
둘째, 해당 구현은 대상이 유효한 컨트랙트인지 (또는 제로 주소인지) 확인하지 않습니다.
셋째, EVM의 저수준 호출은 대상 컨트랙트가 제로일 때 false를 반환하지 않습니다. 이는 개발자의 일반적인 상식과 상충됩니다.
물론, 이 사건에는 다른 이유도 있습니다. 예를 들어, 제로 주소가 화이트리스트에 포함된 것입니다. 그러나 코드가 이 특수한 경우를 올바르게 처리할 수 있었다면 취약하지 않았을 것입니다.
참고로: 유사한 코드를 사용하는 다른 프로젝트들이 존재합니다. 이들은 유사한 문제에 취약할 수 있습니다.
실험
VM이 대상 컨트랙트가 제로일 때 false를 반환하지 않는다는 세 번째 이유를 확인하기 위해, 다음과 같이 테스트 컨트랙트를 개발했습니다.
TestSafeTransfer.test()의 실행은 되돌려지지 않습니다.
교훈 및 위험 완화 방법
다음을 권장합니다:
- 매우 타당한 이유가 없는 한, 직접 구현하는 대신 널리 사용되는 라이브러리를 사용하십시오.
- 전송된 자산의 수량이 기대치와 일치하는지 확인하기 위해 자산 전송 전후의 잔액을 확인하십시오. 이를 통해 디플레이션 및 인플레이션 토큰 문제도 방지할 수 있습니다.
BlockSec 소개
BlockSec은 2021년 세계적으로 著名한 보안 전문가 그룹에 의해 설립된 선구적인 블록체인 보안 회사입니다. 이 회사는 대규모 도입을 촉진하기 위해 새롭게 부상하는 Web3 세계의 보안과 사용성을 향상시키는 데 전념하고 있습니다. 이를 위해 BlockSec은 스마트 컨트랙트 및 EVM 체인 보안 감사 서비스, 보안 개발 및 위협을 사전에 차단하기 위한 Phalcon 플랫폼, 자금 추적 및 조사를 위한 MetaSleuth 플랫폼, 그리고 크립토 세계에서 web3 빌더들이 효율적으로 서핑할 수 있도록 돕는 MetaDock 확장 프로그램을 제공합니다.
현재까지, 이 회사는 MetaMask, Uniswap Foundation, Compound, Forta, PancakeSwap 등 300개 이상의 저명한 고객사에 서비스를 제공했으며, Matrix Partners, Vitalbridge Capital, Fenbushi Capital을 포함한 저명한 투자자들로부터 두 차례의 파이낸싱 라운드에서 수천만 달러를 유치했습니다.
공식 웹사이트: https://blocksec.com/
공식 트위터 계정: https://twitter.com/BlockSecTeam
