Sicherheitsvorfall beim R0AR-Projekt
Die Web3-Sicherheitsfirma berichtete auf der Plattform X, dass das Projekt R0AR am 16. April einen Sicherheitsvorfall erlitten hat, der zum Verlust von etwa 780.000 USD führte. Der Vorfall wird auf eine Hintertür im Smart Contract des Projekts zurückgeführt.
Zwischenbericht und Rückholung der gestohlenen Mittel
Das Projektteam veröffentlichte heute einen Zwischenbericht und erklärte, dass die gestohlenen Mittel zurückgeholt werden konnten, obwohl bisher keine Adressen oder Transaktions-Hashes bekannt gegeben wurden.
Warnung für Benutzer
Dieser Vorfall dient als Warnung für Benutzer, bei Verträgen mit potenziellen Hintertüren vorsichtig zu sein, insbesondere im Hinblick auf den fraglichen Vertrag mit der Adresse 0xBD2Cd7. Der R0AR-Staking-Vertrag wies von Anfang an eine Hintertür auf.
Details des Vorfalls
Eine böswillige Adresse, 0x8149f, war im Voraus mit einer erheblichen Menge an 1R0R-Token konfiguriert, die entzogen werden konnten. Der Angreifer führte zunächst kleine Einzahlungs- und Ernte-Transaktionen durch, um sich auf eine böswillige EmergencyWithdraw-Operation vorzubereiten.
Da der rewardAmount den r0arTokenBalance (den Saldo des Vertrages) überstieg, wurde der rewardAmount auf den Vertrags-Saldo festgelegt. Folglich wurden alle Token im Vertrag an die böswillige Adresse 0x8149f übertragen. Ebenso wurden alle LP-Token aus dem LP-Token-Vertrag an dieselbe Adresse transferiert.
Schließlich wurde userInfo.amount auf null gesetzt. Die userInfo im Vertrag ist eine Mapping-Struktur, deren Adresse dynamisch mit den Schlüsseln (uid und msg.sender) berechnet wird. Dies deutet darauf hin, dass die Hintertür absichtlich eingeplant wurde, wobei die böswillige Adresse bereits vor der Bereitstellung des Vertrags festgelegt wurde.
