Revue du vol de GANA : fuite de la clé privée + altération des paramètres, le processus d'attaque de quelques centaines de dollars échangés contre des dizaines de milliers de dollars.

【比推】Le projet GANA a récemment connu un grave incident de sécurité - l'attaquant a simplement staké quelques centaines de USDT, mais a réussi à retirer des dizaines de milliers de USDT lors de la désactivation du stake.

Un expert en sécurité a découvert après investigation que la source du problème résidait dans la fuite de la clé privée du propriétaire du contrat GANA Payment Stake. Cependant, les attaquants n'ont pas simplement transféré les fonds de manière brutale, mais ont utilisé quelques techniques : ils ont d'abord contourné la vérification onlyEOA dans la fonction unstake avec l'opération 7702 deleGate (cette vérification était à l'origine destinée à prévenir les robots), puis ont discrètement modifié les paramètres Rate et Fee du contrat.

Avec cette série de coups, le ratio d'échange entre le stake et le déstake a été complètement déformé. Essentiellement, cela consiste à altérer les paramètres clés du contrat intelligent pour modifier les règles de retrait en une version favorable à l'attaquant.

Cette affaire prouve une fois de plus que la gestion des clés privées ne doit souffrir d'aucune négligence et que la conception des permissions de contrat nécessite une protection en plusieurs couches.