一、前言
北京时间2022年3月21日，知道创宇区块链安全实验室监测到BSC链和以太坊上的UmbNetwork奖励池遭到黑客攻击，损失约70万美元。实验室第一时间对本次事件进行跟踪并分析。
二、基础信息
攻击者地址：0x1751e3e1aaf1a3e7b973c889b7531f43fc59f7d0
战略咨询公司贝恩公司收购Web3数字产品工作室Umbrage:2月2日消息，战略咨询公司贝恩公司宣布收购 Web3 数字产品工作室 Umbrage，Umbrage 将与 Bain 的创新与设计服务密切合作，并在产品管理、UI/UX 设计、全栈开发、DevOps、QA 和 Web3 等领域额外的深厚技术专长。此举将进一步为客户提供端到端交付能力，以概念化、设计、构建和扩展下一层软件驱动的业务模型和产品。
迄今为止，贝恩的数字交付平台 Vector 团队已为全球各行各业的 6700 多个数字项目提供建议，在高级分析、创新与设计、软件工程和企业技术方面提供端到端的交付能力。[2023/2/2 11:43:00]
攻击合约：0x89767960b76b009416bc7ff4a4b79051eed0a9ee
因Bithumb被黑客攻击 韩国演员同时受到关注:韩国大型虚拟货币交易所Bithumb受到黑客攻击后，韩国著名演员郑宇星、李政宰、河正宇也相继受到关注。其原因是Bithumb是的运营公司中主要股东是Kim-Jaewook占据bithumb的90%以上的股份，他同时是运营Artistcompany的代表，而这家公司有郑宇星，李政宰，河正宇等韩国知名演员，这些演员也对Bithumb投资不少资金占据大量股份。[2018/6/20]
StakingRewards合约:0xB3FB1D01B07A706736Ca175f827e4F56021b85dE
韩国国税局计划向Bithumb征税数百亿韩元:据KBS报道，韩国国税局计划向Bithumb征收数百亿韩元的税。Bithumb负责人今日表示，税务调查在四月结束，公司正在等待政府的最终税收数额。据悉，在检查Bithumb的交易费用和其他收入后，韩国国家税务机构计算出的金额超过300亿韩元，即近2800万美元。去年Bithumb的收入为3000亿韩元，比一年前上涨了77倍。另外，韩国税务机关预计不会对Bithumb提起刑事诉讼。[2018/6/8]
以太坊交易哈希：0x33479bcfbc792aa0f8103ab0d7a3784788b5b0e1467c81ffbed1b7682660b4fa
BSC交易哈希：0x784b68dc7d06ee181f3127d5eb5331850b5e690cc63dd099cd7b8dc863204bf6
三、漏洞分析
此次事件，漏洞关键在于UmbNetwork奖励池的StakingRewards合约中的_balance函数出现溢出漏洞，合约未校验检查balance的值，攻击者通过amount发起下溢攻击，抽空了池子中的代币。
从合约代码我们可以看出，合约未正确使用SafeMath安全库且未作溢出检查，导致此次攻击发生。
四、攻击流程
攻击者从BSC链发起攻击获取156枚pancake-LP代币:
攻击者在以太坊上发起攻击获取8792枚UNI-V2代币:
随后攻击者分别将代币转分别换成ETH、UMB和BNB，获利约70万美元。
五、分析
本次攻击事件核心是由于合约未正确使用SafeMath库并且未对合约进行溢出检查导致合约出现溢出漏洞，而导致了此次事件的发生，建议项目方多加注意检查合约是否正确使用各类安全库。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。