マジ兄さんが大金をはたいて買ったプロジェクトがハッキングされた？ Jimbos プロトコル攻撃イベントの分析

Beosin-Eagle Eye 状況認識プラットフォームによると、2023 年 5 月 28 日に、Jimbos プロトコルの JimboController コントラクトがハッキングされ、ハッカーは約 750 万米ドルの利益を得ました。

公式ウェブサイトによると、Jimbos ProtocolはArbitrum上で展開された実験的プロトコル「応答型集中流動性」で、Jimbos Protocolが立ち上げたメイントークン$JIMBOは、さまざまな状況下でプロトコルの流動性を定期的にリバランスし、資本利用の効率を向上させることを目的としている。

私たちがよく知っているMajiの兄弟であるHuang Lichengは、数日前にこのプロジェクトのトークンを購入するために数百万ドルを費やしましたが、攻撃の後、関連するトークンも急落しました。Maji兄弟が今どのように感じているかはわかりません。

Beosinセキュリティチームは可能な限り迅速にインシデントを分析し、現在次のように分析結果を共有しています。

イベント関連情報

攻撃トランザクション

0x44a0f5650a038ab522087c02f734b80e6c748afb207995e757ed67ca037a5eda (そのうちの 1 つ)

攻撃者のアドレス

0x102be4bccc2696c35fd5f5bfe54c1dfba416a741

攻撃契約

0xd4002233b59f7edd726fc6f14303980841306973

攻撃された契約

0x271944d9D8CA831F7c0dBCb20C4ee482376d6DE7

攻撃プロセス

この攻撃には複数のトランザクションがあり、そのうちの 1 つを分析に使用します。

1. 攻撃者はまずフラッシュ ローンで 10,000 WETH を貸します。

!【マジ兄貴が大金をはたいて買ったプロジェクトがハッキングされた？ Jimbos プロトコル攻撃イベントの分析](https://img.gateio.im/social/moments-69a80767fe-567b729fc8-dd1a6f-e5a980)

2. 次に、攻撃者は大量の WETH を使用して JIMBO トークンを交換し、JIMBO の価格をつり上げます。

!【マジ兄貴が大金をはたいて買ったプロジェクトがハッキングされた？ Jimbos プロトコル攻撃イベントの分析](https://img.gateio.im/social/moments-69a80767fe-2801aeccae-dd1a6f-e5a980)

3. 次に、攻撃者は、その後の流動性の追加に備えて、100 個の JIMBO トークンを JimboController コントラクトに転送しました (JIMBO の価格が上昇しているため、流動性を追加するには少量の JIMBO トークンのみが必要です)。

!【マジ兄貴が大金をはたいて買ったプロジェクトがハッキングされた？ Jimbos プロトコル攻撃イベントの分析](https://img.gateio.im/social/moments-69a80767fe-8e448b5f79-dd1a6f-e5a980)

4. 次に、攻撃者はシフト関数を呼び出します。これにより、元の流動性が削除され、新しい流動性が追加されます。シフト関数を呼び出すと、流動性を追加するためにコントラクトの資金が取得され、JimboController コントラクトのすべての WETH が流動性に追加されます。

!【マジ兄貴が大金をはたいて買ったプロジェクトがハッキングされた？ Jimbos プロトコル攻撃イベントの分析](https://img.gateio.im/social/moments-69a80767fe-a539e87f10-dd1a6f-e5a980)

!【マジ兄貴が大金をはたいて買ったプロジェクトがハッキングされた？ Jimbos プロトコル攻撃イベントの分析](https://img.gateio.im/social/moments-69a80767fe-5c125a9f48-dd1a6f-e5a980)

5. このとき、アンバランスな状態で流動性を追加するため（流動性を追加する場合、必要なトークンの数を計算する基準として現在の価格に依存します。これは、注文を受けるためのコントラクトを使用するのと同等です） 、攻撃者がより多くのWETHを取得できるように、攻撃者は最終的にJIMBOをWETHに変換して利益を完成させました。

!【マジ兄貴が大金をはたいて買ったプロジェクトがハッキングされた？ Jimbos プロトコル攻撃イベントの分析](https://img.gateio.im/social/moments-69a80767fe-907eb615cd-dd1a6f-e5a980)

脆弱性分析

この攻撃は主に JimboController コントラクトの脆弱性を利用しており、誰でもシフト機能を使用してコントラクトに流動性操作の削除と追加を実行させることができ、高レベルの乗っ取りとなります。

!【マジ兄貴が大金をはたいて買ったプロジェクトがハッキングされた？ Jimbos プロトコル攻撃イベントの分析](https://img.gateio.im/social/moments-69a80767fe-29867b62cb-dd1a6f-e5a980)

資金追跡

この記事の執筆時点では、盗まれた資金は攻撃者によって送金されておらず、攻撃アドレスには 4048 ETH がまだ残っています。

(

!【マジ兄貴が大金をはたいて買ったプロジェクトがハッキングされた？ Jimbos プロトコル攻撃イベントの分析](https://img.gateio.im/social/moments-69a80767fe-bb95b97984-dd1a6f-e5a980)

要約

この事件を受けて、Beosin セキュリティ チームは次のように提案しました: 契約開発中は、外部操作による契約への投資は避けるべきです; プロジェクトが実際に稼働する前に、包括的なセキュリティ監査を実施する専門のセキュリティ監査会社を選択することをお勧めしますセキュリティリスクを回避するため。