Furucombo此次事故并不在安全漏洞的范畴内，主要的原因在于官方将未启用的AaveV2Proxy合约添加进了自己的白名单中，并且未对AaveV2Proxy合约进行初始化，导致攻击者有机可乘。与Furucombo交互过的用户应及时撤销相关授权，避免进一步损失。
据链闻消息，著名DeFi项目Furucombo被黑，损失约1500万美元。慢雾安全团队第一时间介入分析，并将攻击细节分享给大家。
攻击细节分析
本次发生问题的合约在Furucombo本身的代理合约当中。整个攻击流程很简单。攻击者通过设置了Furucombo的AaveV2Proxy的逻辑地址导致后续通过Furucombo代理合约调用的逻辑全部转发到攻击者自己的恶意合约上，导致任意资金被盗。
Bitfury CEO：美联储紧缩政策对比特币价格不利:金色财经报道，Bitfury首席执行官Brian Brooks认为，美联储的财政紧缩政策不利于比特币的价格。
Brian Brooks表示，交易员并不认为BTC在极端财政紧缩时期是抵御通胀的有效工具。因此，HODLer可能预期BTC价格至少在短期内保持相对较低的水平。
在8月29日接受CNBC采访时表示，Brian Brooks还批评美国SEC以诉讼的方式处理加密行业，称监管机构需要“认真对待”并提供适当的指导，而不是诉诸法庭。（Beincrypto）[2022/8/30 12:57:45]
但是如果事情那么简单，那么本次分析不值一提。问题远比想象的复杂得多。
Bitfury现任首席执行官Brian Brooks加入Pledge咨询顾问团:据官方消息，Bitfury现任首席执行官Brian Brooks加入Pledge Finance团队，担任战略顾问。Brian曾担任Binance.US的首席执行官、美国货币监理署、Coinbase的首席法律官、以及房利美的执行副总裁兼总法律顾问。
Pledge是金融NFT的借贷市场。从固定利率和条款的比特币贷款开始，Pledge V1为TradeFi和DeFi投资者提供固定回报。此外，Pledge V1为专业的加密货币交易者提供固定的资金成本。Pledge V2将通过把比特币贷款转换为金融NFT，使比特币贷款可以交易。[2022/1/10 8:38:29]
如上图所示攻击者的入口在Furucombo的batchExec函数，我们先对batchExec函数进行分析：
LABS Group 或将马尔代夫群岛Ifuru度假村代币化:据官方消息，LABS Group 或将马尔代夫群岛上的Ifuru度假村代币化。
目前，该公司已经宣布了与Ifuru度假村建立合作关系的可能性。注：LABS Group是首个以房地产为重点的端到端投资生态系统，其积极与世界各地的房地产开发商和公司合作，充分挖掘代币化房地产投资市场的潜力。（Coinspeaker）[2021/4/9 20:01:21]
以上是FurucomboProxy合约的batchExec函数的具体实现，其中_preProcess和_postProcess合约分别是对调用前后做一些数据上的处理，不涉及具体的调用逻辑，这边可以先忽略。我们主要观察核心的_execs函数：
动态 | ConsenSys收购以太坊基础设施提供商Infura:据CryptoNinjas今日消息，以太坊创业公司ConsenSys已收购以太坊基础设施提供商Infura。此次收购将继续致力于Infura API套件，提高平台效率，并推出新产品。[2019/10/4]
通过对execs代码的分析不难发现，函数的主要逻辑是对configs数组的数据做检查，并根据configs数组的数据对data进行一些处理。但是回顾上文中攻击者的调用数据，不难发现攻击者的调用数据中，configs的数据是一个0地址：
动态 | 曾投资比特币矿业巨头Bitfury的先锋集团称业务陷入困境:据新浪财经7月23日消息，曾投资比特币矿业巨头Bitfury的中国金融科技公司先锋集团（UCF）称，业务“遇到前所未有的困境和危机”。该集团董事长张振新向全体员工发出内部信称，已经启动重组计划，与多个资管公司、券商、拍卖公司和产权交易所等治谈资产重组方案。信息显示，先锋集团曾在金融科技与区块链产业进行布局，通过香港上市公司中新控股（8207.HK）投资比特币矿业巨头Bitfury，获得后者6.38%股权。2016年12月，先锋旗下企业还曾宣布收购越南信息科技服务及个人化金融服务解决方案公司Amigo Technologies 51%股份。此外，先锋集团曾参与投资区块链初创公司质数金服与区块链技术公司质数链网，质数金服为第三方支付、基金、银行、保险等各金融业态提供金融科技服务，为金融和非金融机构提供基于分布式技术的核心总账能力、资金清算能力和交易服务，并称在成立后的一年中“已为各金融机构清算资金逾千亿元”。[2019/7/23]
这里有一个trick，由于0地址是一个EOA地址，所有对EOA地址的函数调用都会成功，但是不会返回任何结果。结合这个trick，execs函数中的关于configs数据的部分可以先暂时忽略。直接看到最后的核心_exec函数：
_exec函数的逻辑也很简单，在校验了_to地址后，直接就将data转发到指定的_to地址上了。而通过对攻击交易的分析，我们能发现这个_to地址确实是官方指定的合法地址。
最后一步，便是调用_to地址，也就是官方指定的AaveV2Proxy合约的initialize函数，将攻击者自己的恶意地址设置成AaveV2Proxy合约的逻辑地址。通过对Furucombo合约的分析，可以发现整个调用流程上没有出现严重的安全点，对调用的地址也进行了白名单的检查。那么问题只能是出在了对应要调用的代理逻辑上，也就是AaveV2Proxy合约。
我们直接分析AaveV2Proxy合约的initialize函数的逻辑：
可以看到initialize函数是一个public函数，并在开头就检查了_implementation是否是0地址，如果是0地址，则抛出错误。这个检查的目的其实就是检查了_implementation是否被设置了，如果被设置了，就无法再次设置。根据这个设置，不难想出initialize这个函数只能调用一次。除非AaveV2Proxy从来没有设置过_implementation，否则这个调用是不会成功的。难道Furucombo真的没有设置过对应的_implementation吗？带着这样的疑问，我们检查了交易内的状态变化。如下：
可以看到，交易中改变了存储位置为0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc的内容，而写入的内容正是攻击者自己的恶意合约地址0x86765dde9304bea32f65330d266155c4fa0c4f04。
而0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc这个位置，正是_implementation数据的存储地址。
也就是说，官方从来没有设置过AaveV2Proxy合约的_implementation地址，导致攻击者钻了这个空子，造成了Furucombo资产损失。
总结
通过对整个事件的分析来看，Furucombo此次事故并不在安全漏洞的范畴内，主要的原因在于官方将未启用的AaveV2Proxy合约添加进了自己的白名单中，并且未对AaveV2Proxy合约进行初始化，导致攻击者有机可乘。
建议
目前，由于Furucombo遭受攻击，导致任何将代币授权过给Furucombo合约(0x17e8ca1b4798b97602895f63206afcd1fc90ca5f)的用户都将面临资金损失的风险。
慢雾安全团队建议与Furucombo交互过的用户检查是否有将相关代币授权给Furucombo合约。如有授权，应及时撤销相关授权，避免进一步损失。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。