扫码下载 APP
qrCode
更多下载方式
今天不再提醒

GANA被盗复盘:私钥泄露+参数篡改,几百U换几十万U的攻击全过程

robot
摘要生成中

【比推】GANA项目最近出了个大安全事故——攻击者只质押了几百个USDT,结果解质押时竟然提走了几十万USDT。

某安全专家深挖后发现,根源出在GANA Payment Stake合约的Owner私钥泄露了。但攻击者不是简单粗暴地转走资金,而是玩了些技术活:先用7702 delegate这个操作绕过了unstake函数里的onlyEOA检查(这个检查本来是防机器人的),然后悄悄改掉了合约里的Rate和Fee参数。

这套组合拳下来,质押和解质押的兑换比例就被完全扭曲了。本质上是通过篡改智能合约的核心参数,把提款规则改成了对攻击者有利的版本。

这事再次证明:私钥管理不能有任何疏忽,合约权限设计也需要多层防护。

此页面可能包含第三方内容,仅供参考(非陈述/保证),不应被视为 Gate 认可其观点表述,也不得被视为财务或专业建议。详见声明
  • 赞赏
  • 3
  • 转发
  • 分享
评论
0/400
FlashLoanKingvip
· 19小时前
几百U变几十万,这操作属实绝了,私钥一泄露什么都完了
回复0
SoliditySlayervip
· 19小时前
私钥泄露还搭配参数篡改,这手法有点东西啊...GANA这次属实是社死了 --- 几百换几十万?这买卖划得太绝了,怪不得有人铤而走险 --- 又是Owner私钥,啥时候项目方才能长点记性 --- 7702那套路我得细看看,感觉这波攻击逻辑有点凶 --- 合约审计呢?这么大的漏洞是怎么过的 --- 质押就能套出十倍收益,GANA这是在帮黑客打工啊 --- 技术性作案,说明黑客确实有两把刷子,不是单纯脚本小子 --- 又一个被盗的项目,这圈子真的得学会自我保护了 --- 从几百到几十万,这离谱程度堪比现实诈骗
回复0
NFT_考古学家vip
· 19小时前
私钥一泄露直接就完了,这种低级失误真的绝了 几百换几十万这手法,得多闲啊 7702这套路,看来得补补课了 又是Owner私钥的问题,什么时候项目方才能长点记性 这操作细节得好好研究研究,有点东西啊
回复0
交易,随时随地
qrCode
扫码下载 Gate App
社群列表
简体中文
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)