北京时间7月23日，去中心化跨链交易协议?THORChain(RUNE)再次遭遇攻击，包括XRUNE在内的多种ERC20代币受到影响，涉及损失约800万美元。THORChain已是一个月内第三次受到攻击，此前在7月16日遭受攻击，损失约4000ETH；在6月29日遭受恶意攻击，损失14万美元。
SharkTeam第一时间对此事件进行了攻击分析和技术分析，并总结了安全防范手段，希望后续的区块链项目可以引以为戒，共筑区块链行业的安全防线。
Stargate单月跨链交易额突破10亿美元，创历史新高:4月15日消息，基于 LayerZero 的跨链流动性协议 Stargate 在社交媒体上发文表示，其单月跨链交易额首次突破 10 亿美元。[2023/4/15 14:05:23]
一、事件分析
攻击交易：https://etherscan.io/tx/0xce958939ba23771d0a0b80532c463b4cbbb175f4d14c08d9d27dd251f68a5da1
跨链交易协议RAIFinance将集成Chainlink预言机喂价:基于Polkadot区块链的跨链交易协议RAIFinance宣布将与Chainlink集成，为开发人员和用户在其推出的基于AMM的去中心化交易所进行资产交换时提供安全可靠的价格预言机的服务。Chainlink支持的去中心化价格预言机可用于在RAIFinance之上根据资产估值变化等市场变动创建自动交易策略。
从汇总的加密货币价格开始，Chainlink将为RAIFinance提供准确的链外数据提要访问。RAIFinance是基于波卡的跨链资产交易协议，旨在向现有的去中心化金融生态系统提供解决流动性不足、创建DeFi资产等问题的解决方案。[2021/2/16 19:51:49]
图1攻击者攻击THORChainRouter获取XRUNE代币
V神：我个人对跨链交流并不感冒:今日V神在王峰十问上表示：我知道有些团队正致力于跨链交流，但我个人对此并不感冒。[2018/6/22]
攻击者调用THORChainRouter合约的transferOut函数向攻击者转了一笔数量为amount的代币，代币的类型由asset的类型来确定，转账的sender为THORChainRouter的合约地址。
图2?THORChainRouter合约的TransferOut函数
图3?通过TransferOut函数牟利Sushi币
攻击者之所以可以实现这样的攻击，是因为THORChainRouter合约的TransferOut函数漏洞导致--使用asset.call(abi.encodeWithSignature("transfer(address,uint256)",to,amount))语句进行转账;
图4?YFI.sol中的transfer
图5?FiatToken.sol中的transfer
图6?XRUNE.sol中的transfer?
在使用call函数时，msg.sender的值为THORChainRouter地址，执行环境为被调用者的运行环境，因此会调用asset代币合约中的transfer函数，向接收者转出代币。而此次攻击者攻击THORChainRouter合约牟利的六种代币合约中，实现转账的函数均为"transfer(address,uint256)"这种形式，这也使得攻击者有可乘之机。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。