背景
2020 年 8 月 5 日，opyn 合約遭遇駭客攻擊。慢霧安全團隊在收到情報後對本次攻擊事件進行了全面的分析，下面為大家就這次攻擊事件展開具體的技術分析。
攻擊細節
邏輯分析
看其中一筆攻擊交易：
https://etherscan.io/tx/0xa858463f30a08c6f3410ed456e59277fbe62ff14225754d2bb0b4f6a75fdc8ad
透過檢視內聯交易可以看到攻擊者僅使用 272eth 最終得到 467eth
使用 oko 合約瀏覽器對具體的攻擊細節進行分析
https://oko.palkeo.com/0xa858463f30a08c6f3410ed456e59277fbe62ff14225754d2bb0b4f6a75fdc8ad/
關鍵點在於 otoken 合約的 exercise 函式，從上圖中可以看出在 exercise 函式中透過呼叫兩次 transfer 將 usdc 傳送給攻擊者合約，接下來我們切入 exercise 函式進行具體的分析
function exercise(
uint256 otokenstoexercise,
address payable[] memory vaultstoexercisefrom
) public payable {
for (uint256 i = 0; i < vaultstoexercisefrom.length; i++) {
address payable vaultowner = vaultstoexercisefrom;
require(
hasvault(vaultowner),
"cannot exercise from a vault that doesn't exist"
);
vault storage vault = vaults[vaultowner];
if (otokenstoexercise == 0) {
return;
} else if (vault.otokensissued >= otokenstoexercise) {
_exercise(otokenstoexercise, vaultowner);
return;
} else {
otokenstoexercise = otokenstoexercise.sub(vault.otokensissued);
_exercise(vault.otokensissued, vaultowner);
}
}
require(
otokenstoexercise == 0,
"specified vaults have insufficient collateral"
);
}
可以看到 exercise 函式允許傳入多個 vaultstoexercisefrom，然後透過 for 迴圈呼叫_exercise 函式對各個 vaultstoexercisefrom 進行處理，現在我們切入 _exercise 函式進行具體的分析
function _exercise(
uint256 otokenstoexercise,
address payable vaulttoexercisefrom
) internal {
// 1. before exercise window: revert
require(
isexercisewindow(),
"can't exercise outside of the exercise window"
);
require(hasvault(vaulttoexercisefrom), "vault does not exist");
vault storage vault = vaults[vaulttoexercisefrom];
require(otokenstoexercise > 0, "can't exercise 0 otokens");
// check correct amount of otokens passed in)
require(
otokenstoexercise <= vault.otokensissued,
"can't exercise more otokens than the owner has"
);
// ensure person calling has enough otokens
require(
balanceof(msg.sender) >= otokenstoexercise,
"not enough otokens"
);
// 1. check sufficient underlying
// 1.1 update underlying balances
uint256 amtunderlyingtopay = underlyingrequiredtoexercise(
otokenstoexercise
);
vault.underlying = vault.underlying.add(amtunderlyingtopay);
// 2. calculate collateral to pay
// 2.1 payout enough collateral to get (strikeprice * otokens) amount of collateral
uint256 amtcollateraltopay = calculatecollateraltopay(
otokenstoexercise,
number(1, 0)
);
// 2.2 take a small fee on every exercise
uint256 amtfee = calculatecollateraltopay(
otokenstoexercise,
transactionfee
);
totalfee = totalfee.add(amtfee);
uint256 totalcollateraltopay = amtcollateraltopay.add(amtfee);
require(
totalcollateraltopay <= vault.collateral,
"vault underwater, can't exercise"
);
// 3. update collateral + otoken balances
vault.collateral = vault.collateral.sub(totalcollateraltopay);
vault.otokensissued = vault.otokensissued.sub(otokenstoexercise);
// 4. transfer in underlying, burn otokens + pay out collateral
// 4.1 transfer in underlying
if (iseth(underlying)) {
require(msg.value == amtunderlyingtopay, "incorrect msg.value");
} else {
require(
underlying.transferfrom(
msg.sender,
address(this),
amtunderlyingtopay
),
"could not transfer in tokens"
);
}
// 4.2 burn otokens
_burn(msg.sender, otokenstoexercise);
// 4.3 pay out collateral
transfercollateral(msg.sender, amtcollateraltopay);
emit exercise(
amtunderlyingtopay,
amtcollateraltopay,
msg.sender,
vaulttoexercisefrom
);
}
1、在程式碼第 6 行首先檢查了現在是否在保險期限內，這自然是肯定的
2、在程式碼第 11 行則對 vaulttoexercisefrom 是否建立了 vault 進行檢查，注意這裡只是檢查了是否有建立 vault
3、在程式碼第 14、16、21 行對傳入的 otokenstoexercise 值進行了檢查，在上圖 oko 瀏覽器中我們可以看到攻擊者傳入了 0x1443fd000，這顯然是可以透過檢查的
4、接下來在程式碼第 28 行計算需要消耗的 eth 數量
5、在程式碼第 35、41 行計算需要支付的數量與手續費
6、接下來在程式碼第 59 行對 underlying 是否是 eth 地址進行判斷，而 underlying 在上面程式碼第 31 行進行了賦值，由於 iseth 為 true， 因此將會進入 if 邏輯而不會走 else 邏輯，在 if 邏輯中 amtunderlyingtopay 與 msg.value 都是使用者可控的
7、隨後對 otokenstoexercise 進行了燃燒，並呼叫 transfercollateral 函式將 usdc 轉給exercise 函式的呼叫者
以上關鍵的地方在於步驟 2 與步驟 6，因此我們只需要確保傳入的 vaulttoexercisefrom 都建立了 vault，且使 amtunderlyingtopay 與 msg.value 相等即可，而這些相關引數都是我們可以控制的，所以攻擊思路就顯而易見了。
思路驗證
讓我們透過攻擊者的操作來驗證此過程是否如我們所想：
1、首先在保險期限內是肯定的
2、攻擊者傳入的 vaulttoexercisefrom 分別為：
0xe7870231992ab4b1a01814fa0a599115fe94203f
0x076c95c6cd2eb823acc6347fdf5b3dd9b83511e4
經驗證，這兩個地址都建立了 vault
3、攻擊者呼叫 exercise 傳入 otokenstoexercise 為 0x1443fd000 (5440000000)，msg.value 為 272eth，vaultstoexercisefrom 分別為以上兩個地址
4、此時由於此前攻擊者建立的 otoken 為 0xa21fe800 (2720000000)，及 vault.otokensissued 為 2720000000 小於 5440000000，所以將走 exercise 函式中的 else 邏輯，此時 otokenstoexercise 為 0xa21fe800 (2720000000)，則以上程式碼第 60 行 msg.value == amtunderlyingtopay 是肯定成立的
5、由於 vaultstoexercisefrom 傳入兩個地址，所以 for 迴圈將執行兩次 _exercise 函式，因此將 transfer 兩次把 usdc 轉給攻擊者合約
完整的攻擊流程如下
1、攻擊者使用合約先呼叫 opyn 合約的 createerc20collateraloption 函式建立 otoken
2、攻擊合約呼叫 exercise 函式，傳入已建立 vault 的地址
3、透過 exercise 函式中 for 迴圈邏輯執行呼叫兩次 _exercise 函式
4、exercise 函式呼叫 transfercollateral 函式將 usdc 轉給函式呼叫者(由於 for 迴圈呼叫兩次 _exercise 函式，transfercollateral 函式也將執行兩次)
5、攻擊合約呼叫 removeunderlying 函式將此前傳入的 eth 轉出
6、最終攻擊者拿回了此前投入的 eth 以及額外的 usdc
攻擊合約地址
0xe7870231992ab4b1a01814fa0a599115fe94203f
opyn 合約地址
0x951d51baefb72319d9fbe941e1615938d89abfe2
攻擊交易(其一)
0xa858463f30a08c6f3410ed456e59277fbe62ff14225754d2bb0b4f6a75fdc8ad
修復建議
此次攻擊主要是利用了 _exercise 函式中對 vaulttoexercisefrom 是否建立 vault 的檢查缺陷。此檢查未校驗 vaulttoexercisefrom 是否是呼叫者自己，而只是簡單的檢查是否建立了 vault，導致攻擊者可以任意傳入已建立 vault 的地址來透過檢查。
建議如下：
1、在處理使用者可控的引數時應做好許可權判斷，限制 vaulttoexercisefrom 需為呼叫者本人。
2、專案方可以在專案初期或未完成多次嚴謹安全審計之前新增合約暫停功能與可升級模型，避免在發生黑天鵝事件時無法有效的保證剩餘資金安全。
