Meerkat Finance老板跑路事情剖析：发布不上1天就卷款老板跑路 三千万美元被卷走_数据来源

Meerkat Finance老板跑路事情剖析：发布不上1天就卷款老板跑路 三千万美元被卷走

中国北京时间2021年3月4日，依据[链必安-区块链链安全入侵检测服务平台（Beosin-OSINT）]网络舆情监测，BSC绿色生态DeFi项目Meerkat Finance疑是老板跑路，其自称为金库合约遭受到黑客入侵，网络黑客运用系统漏洞窃取了金库中的所有资金。现阶段该项目网址早已打不开。

全文连接以下：

https://www.bishijie.com/kuaixun/909558.html

成都市链安（Beosin）安全性精英团队第一时间对于该事情运行安全性回应，对于客户进攻详细地址

（0x9542966f1114eaa5859201aa8d34359afedbfa79）

开展追踪。历经追踪网络攻击详细地址，大家发觉，网络攻击各自地一次性地将很多资金开展转出，如图所示1所显示。虽然官方网自称为是遭受了黑客入侵，但依据大家的剖析結果，基础可以判断Meerkat Finance项目方早已老板跑路。

图1

图2

随后，大家逐渐对于迁移偷盗资金的么加一笔买卖开展剖析，发觉网络攻击立即根据启用金库合约的一个涵数，将金库合约中的资金所有转走；而金库合约应用的是可升級的代理合约，也就是具体逻辑性是能够开展变更的，其管理权限在项目方。

图3

图4

依据纪录还可得到，项目放在WBNB金库偷盗中，代理合约的具体逻辑性還是一切正常的金库合约，在进攻时才将合约逻辑性换成存有侧门的合约。可是在窃取BUSD的买卖中，项目方干脆扯下了自身的“遮羞布”，一开始就布署的是存有侧门的合约。如图所示5所显示：

图5

成都市链安（Beosin）安全性精英团队发觉2次进攻常用的侧门合约全是同一套编码，我们在对在其中一个合约开展反汇编时剖析发觉，其便是一个将代币总开展迁移的涵数。如图所示6所显示：

图6

最后，大家下结论，此次事情显而易见是项目方蓄谋的垂钓事情，从一开始便是奔着老板跑路去的；而在此次事情中，编码层的元凶便是“可升級的代理合约”给与了项目方过大的管理权限，造成 项目方窃取客户资金，好似瓮中捉鳖。

成都市链安（Beosin）安全性精英团队觉得，针对“可升級的代理合约”，在财务审计视角看来，为了更好地确保项目的可扩展性和迭代更新很有可能，保存这类管理权限并并不是不可取的。即便在平时的网络安全审计工作上，大家也不可以规定项目方撤销这类管理权限。但权利是一把双刃刀，是好是坏则在于应用它的人。在成都市链安出示的安全性财务审计报告中，大家一直以来都是有对该类管理权限多方面表明。另外，在这儿必须提示众多客户挑选项目投资项目时，一定要详尽阅读文章安全性财务审计报告中的关键点叙述，尤其是大家得出的潜在性风险及安全性提议。

最终，必须造成注意到是，大家检测到网络攻击在应用transferFrom涵数窃取客户钱夹内已受权给金库合约的资金，现阶段现有客户钱夹内的资金失窃15万BUSD。

在这里，成都市链安（Beosin）安全性精英团队特别提示诸位已参加此项目的客户，马上撤销对该项目详细地址的受权，或马上迁移钱夹内的资金，防止导致二次损害。

BSC受权查验详细地址以下：

https://bscscan.com/tokenapprovalchecker

中国北京时间2021年3月4日，依据[链必安-区块链链安全入侵检测服务平台（Beosin-OSINT）]网络舆情监测，BSC绿色生态DeFi项目Meerk

标签：

区块链热门资讯