Partnered With:

Furucombo公佈攻擊事件調查進展，並表示會賠償用戶資產損失

閱讀本文需 5 分鐘

此次漏洞造成了 22 位 Furucombo 用戶的資產損失，共 1500 萬美金

2 月 28 日，可組合性 DeFi 平臺 Furucombo 遭黑客攻擊，造成 1500 萬美元損失。3 月 1 日，Furucombo 團隊詳細解釋了攻擊發生的具體情況，同時表示，用戶資金是安全的，黑客無法再用相同的方式攻擊，並會賠償用戶的資產損失。

發生了什麼？

UTC 時間 2021 年 2 月 27 日下午 4:47，Furucombo 遭到攻擊，團隊很快發現問題並禁用了合約。Furucombo 與安全團隊 Dedaub，同時還有另一位知名安全專家緊密合作，以確保其他用戶資金沒有損失。

誰受到了影響？

此次漏洞造成了 22 位 Furucombo 用戶的資產損失（包括 21 種代幣資產，共損失 1500 萬美金），目前正在採取措施賠償用戶。

下一步計劃

· Furucombo 將繼續與安全團隊合作以監測黑客；

· 目前 Furucombo 合約已可以安全使用，代理和註冊合約將升級，以儘快解決借貸池集成問題。Aave V2 Cube 在本週全面測試後，已恢復正常；

· Furucombo 仍將與當地警方合作調查黑客攻擊行爲，不排除採取法律行動；

· 2021 年，Furucombo 將會進行多次外審。

對受害者的賠償

具體補償措施細節會盡快公佈。我們正在與受影響的用戶積極溝通，確保資產得到補償。

攻擊的技術復現

Furucombo 基於多種組件，代理合約是主要的調度開關，在同一存儲空間中，可以允許調用任意數量的組件。此類調用可以通過外部服務（比如 Aave 閃電貸）來進行。

允許調用代理（調用方）的合約，與允許代理（被調用方）的合約都註冊在註冊合約中，該合約授權任何此類調用。

代理合約中統一了調用方與被調用方：同樣的調用被用來同時驗證「誰在 Furucombo 代理中調用」和「誰在 Furucombo 代理中被調用」。這就允許 Aave 的借貸池合約可以委託調用：Aave 合約同時是有效的調用方，也是有效的被調用方。

通過可升級性的代理調用 Aave V2 借貸池發起攻擊，這筆代理實施於 0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc 中，攻擊者調用 Aave V2 借貸池代理合約，並要求其初始化攻擊合約。由於「實施」的存儲位置就是 Furucombo 的代理合約存儲位置，內容爲 0，初始化成功。