Nossa ferramenta de análise interna encontrou um bug no contrato Tether Gold em 5 de abril, que permite a um atacante transferir os tokens XAUt (Tether Gold) de qualquer pessoa para um endereço predefinido. A equipe recebeu nosso relatório e disse que havia identificado esse problema internamente. Hoje descobrimos que o problema foi corrigido e queremos compartilhar os detalhes aqui. Além disso, ilustraremos como usar o Phalcon Fork para desenvolver e depurar o PoC desta vulnerabilidade.
0x0. A vulnerabilidade
Na função transferFrom do contrato, qualquer pessoa pode invocar essa função para transferir os tokens de outros usuários para um recebedor confiável definido pelo proprietário do token. Embora essa vulnerabilidade não possa ser explorada diretamente para transferir os tokens para a conta do atacante, o atacante ainda pode transferir os tokens do pool para manipular o preço do token no pool (por exemplo, pool WETH-XAUt) e obter lucro.
A correção desta vulnerabilidade é direta, como mostrado a seguir.
0x1. Como explorar a vulnerabilidade
Para escrever e depurar o PoC, podemos usar o Phalcon Fork para esse propósito. Primeiro, podemos criar um Fork antes que a vulnerabilidade seja corrigida. Utilizei o bloco de altura 17038763 ao criar o Fork por meio da API Fork.
Passo I: preparar Ether suficiente
O primeiro passo é obter Ether suficiente para a taxa de gas do explorador. Se não houver Ether na conta, a transação que envia Ether do vitalik.eth será emitida.
Passo II: transferir a propriedade do contrato Tether Gold
O proprietário do contrato Tether Gold é uma carteira multisig (0xC6CDE7C39eB2f0F0095F41570af89eFC2C1Ea828). Para transferir a propriedade ao explorador, precisamos enviar uma transação multisig e então confirmar a transação.
Passo III: Adicionar uma conta privilegiada ao contrato Tether Gold
Adicionamos uma nova conta 0x189e7947a9d9210eec3a41dcf5f536bb1d7726f5 como conta privilegiada. Em seguida, invocamos a função transferFrom para transferir o token XAUt de uma vítima para a conta privilegiada.
0x2. PoC
Por favor, encontre o PoC neste github:
