Анализ инцидента с атакой на Poly Network: изменение keeper привело к утечке средств

2025-07-28 15:26:39

Генерация тезисов в процессе

Анализ инцидента с атакой на Poly Network

Недавно межсетевой протокол Poly Network стал жертвой хакерской атаки, что вызвало широкий резонанс. После анализа команда безопасности пришла к выводу, что данная атака не произошла из-за утечки приватного ключа keeper, а злоумышленники изменили keeper контракта EthCrossChainData на указанный адрес, используя тщательно сконструированные данные.

Атака ядра

Ключом атаки является функция verifyHeaderAndExecuteTx контракта EthCrossChainManager. Эта функция может выполнять конкретные кросс-цепочные транзакции через функцию _executeCrossChainTx. Поскольку права собственности на контракт EthCrossChainData принадлежат контракту EthCrossChainManager, последний может вызывать функцию putCurEpochConPubKeyBytes первого, чтобы изменить хранителя контракта.

Процесс атаки

Нападающий использует функцию verifyHeaderAndExecuteTx, передавая тщательно подготовленные данные.
Выполните вызов функции putCurEpochConPubKeyBytes контракта EthCrossChainData через функцию _executeCrossChainTx.
Успешно изменен роль keeper на адрес, указанный атакующим.
После завершения замены keeper, атакующий может произвольно создавать транзакции и извлекать любое количество средств из контракта.

Влияние атаки

После завершения атаки, из-за изменения keeper, нормальные транзакции других пользователей были отклонены.
Похожие модели атак также были реализованы в сети Эфириум.

Событийное откровение

В проектировании контрактов необходимо более строгое управление правами доступа.
Выполнение ключевых функций должно иметь несколько этапов проверки.
Регулярные проверки безопасности и обнаружение уязвимостей крайне важны.
Безопасность кросс-цепных операций требует большего внимания и улучшений.

Данный инцидент вновь подчеркивает важность безопасности блокчейна, особенно в сложных сценариях межсетевого взаимодействия. Команда разработчиков должна постоянно совершенствовать меры безопасности, чтобы справляться с все более сложными методами атак. В то же время пользователи также должны повышать свою осведомленность о безопасности и осторожно участвовать в различных проектах блокчейна.

Посмотреть Оригинал

На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .

11 Лайков