一、事件简述
2020-06-18(文中所提及时间均为UTC时间)，以太坊上的智能合约BancorNetwork被爆出存在严重漏洞。该漏洞由BancorNetwork团队和白帽最先发现，并第一时间对存在被盗风险的资金进行了转移，涉及资金50W余美元。
此次事件中，存在漏洞的合约地址主要有如下三个：
0x923cab01e6a4639664aa64b76396eec0ea7d3a5f
0x8dfeb86c7c962577ded19ab2050ac78654fea9f7
0x5f58058c0ec971492166763c8c22632b583f667f
2020-06-183:06:48，BancorNetwork团队利用此漏洞对存在被盗风险的用户资金进行转移，截至2020-06-18?6:56，BancorNetwork团队共计转移资金约合$409,656。
另外两个公开邮箱信息的地址:
0x052ede4c2a04670be329db369c4563283391a3ea
美国FDIC已入驻First Republic Bank，该行资金电汇交易已停止:3月12日消息，据Alpine Fox LP创始人兼管理合伙人Mike Alfred在社交媒体透露，美国联邦存款保险公司（FDIC）已经进驻First Republic Bank现场，试图确定保护储户的最佳途径，考虑到已经达到临界点的加速银行挤兑，事情的发展速度比预期要快得多。
此外，First Republic Bank从今天（3月12日）开始限制资金汇出的电汇交易，同时还表示将在今天结束的时候完全停止处理电汇交易，目前该银行电汇交易处理措辞已改为“感谢您的交易，我们会尽快回复您”。[2023/3/12 12:58:35]
0x1ad1099487b11879e6116ca1ceee486d1efa7b00
也于同一时间利用此漏洞对用户资金进行转移，分别转出资金$131,889和$2346。
到目前为止：
EtherScan已经将存在此漏洞的合约进行标注，如下图所示
Doodles聘请Meebits创始人担任项目金库The DoodleBank顾问:1月30日消息，据Doodles在社交媒体披露，该 NFT 项目已聘请 Meebits 创始人 @kaigani 担任其金库The DoodleBank顾问，kaigani表示将帮助Doodles团队以更清晰的愿景、战略方向和基金路线图改造DoodleBank，并与社区联系征求有关如何充分利用DoodleBank的反馈意见，包括明确的使命、章程和流程等。
DoodleBank目前持有约2940枚ETH，价值约合470万美元，其中420ETH 是通过Doodles初始销售募集的，此外该NFT项目的二次销售版税费用也会被纳入到金库The DoodleBank。[2023/1/30 11:36:16]
图一
BancorNetwork团队也已对此次事件做出了回应，
详情见
，
并于UTC时间2020-06-1721:35:53部署了新的BancorNetwork合约，合约地址为
去中心化信誉评分平台Finxeed与DBank签署1000万美元战略投资协议:12月23日消息，去中心化信誉评分平台Finxeed宣布与DBank Group签署谅解备忘录（MoU），DBank计划为其提供1000万美元战略投资。
Finxeed将利用这笔资金创建信任网络以增强Web3、尤其是DeFi领域的信任、透明度和安全性。DeBank还将帮助Finxeed扩大其产品套件以提高更好的可信社区建设、新闻和媒体来源以及链上交易评分和认证服务。[2022/12/23 22:02:45]
0x2f9ec37d6ccfff1cab21733bdadede11c823ccb0
二、原理分析
漏洞爆出后，成都链安安全团队第一时间对本次事件进行跟踪分析，根据链上分析结果发现，此次事件中漏洞产生的主要原因是智能合约BancorNetwork存在一个调用权限为public的函数safeTransferFrom，通过调用此函数，可以将用户授权给智能合约BancorNetwork的资金转出到任意地址。
由源码可以知，该函数为一个public函数，详细代码如下图所示：
58COIN USDT合约正式上线XTZ、COMP、BAND三个新品:据58COIN官方公告，其USDT合约交易区现已完成在线上新工作，现已正式上线XTZ、COMP、BAND三个新品，投资者持有USDT即可交易。这是其首创USDT合约以来第三次上线新品，此次上新完成后，USDT合约品类扩大至18个。[2020/8/14]
图二
safeTransferFrom函数内部调用了execute函数。而execute函数的功能是调用safeTransferFrom参数中的_token代币智能合约的transferFrom函数进行代理转账。execute函数源码如下图所示：
图三
我们通过一笔链上交易可以清晰的看到调用此函数的具体作用。如地址“0xc802”发起一笔交易，调用了智能合约“0x5f58”的safeTransferFrom函数，使地址”0x8a39”中的0.000000000000000003代币MFG发送到”0x2955”，具体如下图所示：
亿万富翁Mark Cuban：加密货币和黄金都依赖潜在买家市场实现价值增长:金色财经报道，美国亿万富翁Mark Cuban透露他没有任何加密货币，而且更愿意保持这种状态。Cuban表示，对于黄金等贵金属和比特币，目前他都不喜欢。他认为，加密货币和黄金的价值都以类似的方式体现，都依赖于潜在买家市场来实现价值增长。对于比特币，一些人把它当作一种价值储存手段，它就像棒球卡、艺术品和黄金一样。人们希望投资黄金，是因为他们认为，如果出现某些情况，会有其他潜在买家以那个价格购买黄金。尽管Cuban对投资加密货币持负面态度，但他看好区块链的前景。[2020/3/11]
图四
以上就是本次事件漏洞的原理分析，该漏洞的原理十分简单，是因为函数的调用权限设置错误，将本应该只有合约本身调用的函数，设置成了任何人都可以调用。而当BancorNetwork拥有用户的授权额度时，任何人都可以通过调用safeTransferFrom函数，以BancorNetwork的身份对用户的资金进行代理转账。
针对该漏洞，有两点值得我们进行深入分析：
1.?为什么BancorNetwork合约的safeTransferFrom函数会将权限设置成public。
2.?BancorNetwork合约的主要功能是代币转换，并非一个钱包，为什么用户会有未使用的授权。
对于第一个问题，我们追踪了safeTransferFrom函数的调用情况，发现safeTransferFrom函数只在handleSourceToken函数中被调用，用于将用户的代币转移到本合约中。handleSourceToken函数源码如下图所示：
图五
既然只是在handleSourceToken函数中调用，那么显然是没有必要设置成public权限，且根据业务来看，BancorNetwork的主要作用是用于代币交换，并不需要用户主动调用safeTransferFrom，也就没有必要将safetransferFrom设置为public权限。于是我们对比了合约中其他的几个函数，这几个函数均被设置成了public权限。如下图所示：
图六
由此，针对第一个问题，我们推测将这些函数设置为public权限可能是因为合约开发人员的疏忽。而目前来看，BancorNetwork团队新部署的合约也验证了这个推测。根据链上代码显示，官方部署的新合约已经将相关函数权限全部进行了更改。具体代码如下图所示：
图七
针对第二个问题，我们跟踪了漏洞爆出后被转移资金的地址，发现这些地址在对BancorNetwork授权额度时，往往超过了所需要兑换代币的数量，且在兑换完成后，并没有收回额度。如下图所示：
图八
“0x624f”开头的地址对BancorNetwork合约授权了900000000000000个ONG代币，此额度已经超过了ONG的发行量，相当于将“0x624f”所拥有的ONG代币全部授权给BancorNetwork合约。而跟踪“0x624f”开头地址的交易我们发现，在进行完代币兑换后，未使用完所有授权额度，但并未将授权额度收回。
综上所述，我们推测可能是用户考虑到要随时使用，为了方便，一次性将所有代币都授权给了BancorNetwork合约。也可能是BancorNetwork的前端对授权金额设定了默认值。但这种行为存在巨大的风险，一旦智能合约爆发漏洞，资金极易被攻击者窃取。而在对后续新的BancorNetwork合约进行分析时发现，BancorNetwork团队和用户似乎也意识到了此问题存在的巨大风险，并做出了相应的安全防护。如下图九、十为用户对新合约的授权情况，对比两笔线上交易不难看出，两次授权的时间间隔很短，当用户成功兑换完代币后，剩余授权即被收回。
图九
图十
三、结语
BancorNetwork本次爆出的漏洞，是一个较为简单的漏洞，此类漏洞在代码审计过程中十分容易被发现，但此次漏洞的影响却很大，上线仅两天，涉及的资金就已经超过50w美元。幸而BancorNetwork团队及时发现并修复了漏洞，否则后果不堪设想。成都链安-安全研究团队在此提醒各大智能合约运营商，因区块链合约部署后不可更改的特性，对比传统软件，上线前做好充分的代码审计十分重要，此次事件虽未造成太大的经济损失，但势必会让用户对BancorNetwork团队产品的安全性产生质疑。另外也提醒广大用户和运营商，在授权资金给第三方合约时，都应保持谨慎，切不可盲目相信“大公司”，对任何合约的授权都应当秉承最小原则，不要使自己的资金安全掌握在他人手中。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。