Hack Bộ chuyển đổi hoàn trả AAVE ParaSwap

Vào ngày 28 tháng 8 năm 2024, một hợp đồng ngoại vi của AAVE đã bị khai thác, gây ra khoản lỗ 56.000 đô la trên nhiều chuỗi khác nhau. Vụ tấn công nhắm vào hợp đồng ParaSwapRepayAdapter , một thành phần ngoại vi của nền tảng AAVE . Hợp đồng này cho phép người dùng trả lại các vị thế đã vay bằng cách hoán đổi tài sản thế chấp hiện có của họ thông qua ParaSwap , một Sàn phi tập trung (DEX). Hợp đồng không trực tiếp nắm giữ tiền của người dùng, nó chỉ chứa các mã thông báo còn lại từ các lần hoán đổi này nên không ảnh hưởng đến tiền của người dùng.

Tổng quan

Kẻ tấn công: https://etherscan.io/address/0x6ea83f23795F55434C38bA67FCc428aec0C296DC

Hợp đồng dễ bị tấn công: https://etherscan.io/address/0x02e7b8511831b1b02d9018215a0f8f500ea5c6b3

Tấn công giao dịch: https://etherscan.io/tx/0xc27c3ec61c61309c9af35af062a834e0d6914f9352113617400577c0f2b0e9de

Phân tích khai thác

Lỗ hổng trong hàm _buyOnParaSwap có một số vấn đề. Nó chấp thuận token assetToSwapFrom dựa trên số lượng maxAmountToSwap , nhưng thực hiện lệnh gọi tùy ý trên một số lượng khác trong paraswapData. Vì vậy, kẻ tấn công có thể tạo một swap data nhỏ nhưng maxAmountToSwap rất cao, điều này sẽ để lại một khoản trợ cấp rất cao cho tokenTransferProxy sau khi swap.

Kẻ tấn công sau đó khai thác lượng Token còn lại của assetToSwapFrom cho tokenTransferProxy để rút token khỏi hợp đồng.

Bài học rút ra

Là một nhà phát triển , khi xây dựng dự án của riêng mình, không tin tưởng bất kỳ dữ liệu đầu vào nào của người dùng. Bất kỳ tham số nào được đưa ra đều phải được mã xác thực cẩn thận. Các lệnh gọi đến hợp đồng không đáng tin cậy có thể gây ra một số rủi ro hoặc lỗi không mong muốn. Các lệnh gọi bên ngoài có thể kích hoạt mã độc, trong hợp đồng mục tiêu hoặc trên toàn bộ hệ sinh thái của nó. Mọi lệnh gọi bên ngoài đều phải được coi là rủi ro bảo mật tiềm ẩn và phải được xử lý hết sức thận trọng.

Ngoài ra, chúng tôi khuyến nghị mạnh mẽ nên tiến hành Kiểm định bảo mật , không chỉ đối với phiên bản phát hành đầu tiên mà còn đối với bất kỳ tính năng mới nào được thêm vào trong tương lai. Vì quá trình nâng cấp có thể gây ra nhiều vấn đề khác nhau nên cũng cần được kiểm tra kỹ lưỡng.