السبب الرئيسي لهذا الهجوم هو أن طرف مشروع Swaprum استخدم وظيفة عقد الوكيل لتبديل عقد التنفيذ ، وقام بتحويل عقد التنفيذ العادي إلى عقد التنفيذ مع وظيفة الباب الخلفي ، بحيث تقوم وظيفة الباب الخلفي بسرقة الأصول السائلة مرهونة من قبل المستخدم.
** بقلم: Beosin **
في 19 مايو 2022 ، وفقًا لمنصة التوعية بالأوضاع في Beosin-EagleEye ، كان يُشتبه في أن مشروع Swaprum في ** مشروع السلسلة العامة Arbitrum هو سحب البساط ، ويتطلب مبلغًا يبلغ حوالي 3 ملايين دولار أمريكي. **
حلل فريق Beosin الأمني الحادث لأول مرة واكتشف أن هناك بابًا خلفيًا في مجمع مكافآت الرهن العقاري بالسيولة الذي نشره طرف المشروع. استخدم طرف المشروع (Swaprum: Deployer) الوظيفة الإضافية () لسرقة سيولة رموز الرهون العقارية للمستخدم ، من أجل تحقيق الغرض من إزالة سيولة مجمع التداول من أجل الربح. **
المعلومات المتعلقة بالحدث
** عمليات الهجوم ** (نظرًا لوجود عدد كبير من معاملات الهجوم ، يتم عرض بعضها فقط هنا)
من أجل الراحة ، دعنا نأخذ اثنتين من المعاملات كأمثلة:
استدعاء وظيفة إضافة الباب الخلفي لسرقة رموز السيولة)
إزالة ربح السيولة)
يسرق طرف مشروع Swaprum (Swaprum: Deployer) رموز السيولة التي تعهد بها المستخدمون في عقد TransparentUpgradeableProxy عن طريق استدعاء وظيفة الباب الخلفي add () لعقد TransparentUpgradeableProxy.
بعد فك ترجمة عقد التنفيذ ، يوجد بالفعل باب خلفي في الوظيفة add (). ستقوم وظيفة الباب الخلفي بنقل الرموز المميزة للسيولة في العقد إلى \ _عنوان الإضافة [عن طريق الاستعلام عن العنوان \ _devadd ، سيتم إرجاع العنوان كعنوان لطرف مشروع Swaprum (Swaprum: Deployer)].
يستخدم طرف مشروع Swaprum (Swaprum: Deployer) الرموز المميزة للسيولة المسروقة في الخطوة الأولى لإزالة رموز السيولة للحصول على الكثير من الفوائد.
من الجدير بالذكر أنه لا توجد ثغرة في عقد الرهن العقاري الأصلي للسيولة لطرف المشروع ، ولكن السيولة العادية لعقد الرهن العقاري.
(
تم استبداله بعقد خاص بمكافآت رهانات السيولة
(
تحليل الضعف
السبب الرئيسي لهذا الهجوم هو أن ** طرف مشروع Swaprum استخدم وظيفة عقد الوكيل لتبديل عقد التنفيذ ، وقام بتحويل عقد التنفيذ العادي إلى عقد التنفيذ مع وظيفة الباب الخلفي ، بحيث تقوم وظيفة الباب الخلفي بسرقة السائل الأصول المرهونة من قبل المستخدم. **
تتبع الأموال
اعتبارًا من وقت النشر ، وجدت منصة تحليل Beosin KYT لمكافحة غسيل الأموال أن حوالي 1628 ETH (حوالي 3 ملايين دولار أمريكي) من الأموال المسروقة قد تم تقييدها عبر السلاسل إلى Ethereum ، وتم إيداع 1620 ETH في Tornado Cash.
شاهد النسخة الأصلية
المحتوى هو للمرجعية فقط، وليس دعوة أو عرضًا. لا يتم تقديم أي مشورة استثمارية أو ضريبية أو قانونية. للمزيد من الإفصاحات حول المخاطر، يُرجى الاطلاع على إخلاء المسؤولية.
حدث Rug Pull في مشروع آخر لسلسلة Arbitrum العامة ، بقيمة حوالي 3 ملايين دولار أمريكي
** بقلم: Beosin **
في 19 مايو 2022 ، وفقًا لمنصة التوعية بالأوضاع في Beosin-EagleEye ، كان يُشتبه في أن مشروع Swaprum في ** مشروع السلسلة العامة Arbitrum هو سحب البساط ، ويتطلب مبلغًا يبلغ حوالي 3 ملايين دولار أمريكي. **
حلل فريق Beosin الأمني الحادث لأول مرة واكتشف أن هناك بابًا خلفيًا في مجمع مكافآت الرهن العقاري بالسيولة الذي نشره طرف المشروع. استخدم طرف المشروع (Swaprum: Deployer) الوظيفة الإضافية () لسرقة سيولة رموز الرهون العقارية للمستخدم ، من أجل تحقيق الغرض من إزالة سيولة مجمع التداول من أجل الربح. **
المعلومات المتعلقة بالحدث
** عمليات الهجوم ** (نظرًا لوجود عدد كبير من معاملات الهجوم ، يتم عرض بعضها فقط هنا)
** عنوان المهاجم **
0xf2744e1fe488748e6a550677670265f664d96627 ** （Swaprum: الناشر） **
** عقد ضعيف **
0x2b6dec18e8e4def679b2e52e628b14751f2f66bc
（عقد وكيل شفاف قابل للترقية）
0xcb65D65311838C72e35499Cc4171985c8C47D0FC
（عقد التنفيذ）
عملية الهجوم
من أجل الراحة ، دعنا نأخذ اثنتين من المعاملات كأمثلة:
استدعاء وظيفة إضافة الباب الخلفي لسرقة رموز السيولة)
إزالة ربح السيولة)
(
تم استبداله بعقد خاص بمكافآت رهانات السيولة
(
تحليل الضعف
السبب الرئيسي لهذا الهجوم هو أن ** طرف مشروع Swaprum استخدم وظيفة عقد الوكيل لتبديل عقد التنفيذ ، وقام بتحويل عقد التنفيذ العادي إلى عقد التنفيذ مع وظيفة الباب الخلفي ، بحيث تقوم وظيفة الباب الخلفي بسرقة السائل الأصول المرهونة من قبل المستخدم. **
تتبع الأموال
اعتبارًا من وقت النشر ، وجدت منصة تحليل Beosin KYT لمكافحة غسيل الأموال أن حوالي 1628 ETH (حوالي 3 ملايين دولار أمريكي) من الأموال المسروقة قد تم تقييدها عبر السلاسل إلى Ethereum ، وتم إيداع 1620 ETH في Tornado Cash.