熊市最新技术消息：黑客攻击下的B圈熊市众生相
熊市最新技术消息：黑客攻击下的B圈熊市众生相由于这个 router 合约没有开源，具体细节还来不及分析，就此先略过。0x181a7882aac0eab1036eedba25bc95a16e10f61b5df2e99d240a16c334b9b189[1] 是一笔攻击交易，有兴趣的同学可以分析一下。router 作为用户授权接口，出现此种问题影响的不（只）是合约方的资产，而是大量使用该合约的用户的资产。我今年年初发现的 0xDAO 漏洞其实本质也是这种问题。早晨莫名其妙睡不着，脑子里盘旋着一些思路。打开电脑打算记录一下，结果发现各大群已经炸了。TP 钱包用于闪兑的 Transit Swap 的 router 合约被攻击了，损失超过 1500万美元。如果用过 Uniswap 等 DEX 的应该知道，进行 token 交换的时候需要先对 router 去 approve 你的代币，默认情况下这个授权是无限授权，会允许 router 转走你
免责声明：本文旨在传递更多市场信息，不构成任何投资建议。文章仅代表作者观点，不代表MarsBit官方立场。
小编：记得关注哦
来源：Mo0N
原文标题：黑客攻击下的B圈熊市众生相
序早晨莫名其妙睡不着，脑子里盘旋着一些思路。打开电脑打算记录一下，结果发现各大群已经炸了。
TP 钱包用于闪兑的 Transit Swap 的 router 合约被攻击了，损失超过 1500万美元。如果用过 Uniswap 等 DEX 的应该知道，进行 token 交换的时候需要先对 router 去 approve 你的代币，默认情况下这个授权是无限授权，会允许 router 转走你授权的全部 token。通常来说对知名 DEX 的 router 授权并不是一个危险操作，因为这类 router 代码开源且经过多方审计，权限检查十分严格。只能根据你 swap 指定的数量会转走你的 token，而不会任意胡来。
但 router 存在漏洞时就是另一种惨状了。本次被攻击是因为 router 的 claimToken 接口校验不太严格，导致攻击者构造恶意的 calldata 发给 router 后，可以让 router 将授权给它的其他用户的资产转移出来。
router 作为用户授权接口，出现此种问题影响的不（只）是合约方的资产，而是大量使用该合约的用户的资产。我今年年初发现的 0xDAO 漏洞其实本质也是这种问题。
由于这个 router 合约没有开源，具体细节还来不及分析，就此先略过。0x181a7882aac0eab1036eedba25bc95a16e10f61b5df2e99d240a16c334b9b189[1] 是一笔攻击交易，有兴趣的同学可以分析一下。
众生相
攻击者最终获利保存在地址0x75f2aba6a44580d7be2c4e42885d4a1917bffd46[2]上。目前该地址上还保存着接近 16M 的资产。
抛开技术细节不聊，我在攻击者的 BSCScan 页上看到比较有意思的事。以往项目方被攻击，通常只有寥寥数条项目方与黑客之前的沟通，如 如果可以将资产归还到 XXX 地址，你可以保留 10% 作为 Bounty，或者我们可能会选择联系警方通过法律途径解决问题。 等等。
由于这次受到攻击的不是项目方而是散户，留言数非常之多（超过 200 条）。下面摘录一些大家一起赏析一下。
整体上我把留言分成这么几类。
霸道总裁型
基本形式是，喂！我！打钱！，十分强硬。如
按目前的币价，100 BNB 价格大概在20万人民币左右。张口就要 20 万，可以说是非常强势了。
另外由于链上发消息 data 普遍是 UTF-8 编码的，所以也会出现 emoji 表情，在这种场景上莫名有点喜感。
卖惨韭菜型
基本形式是，求求了，打发点咯，这类是主流，看来大家确实都亏的挺惨的。
大哥....那是我的救命钱.....能不能
还给我.....
真的负债几十万给点吧哥哥
日子太难了，可以给10bnb吗
呜呜呜呜呜
