【慢霧技術詳解】Uniswap 的ERC777重入風險與防禦方法

2020/4/21

原標題《慢霧：詳解Uniswap 的ERC777 重入風險》

據鏈聞消息，4 月18 日，Tokenlon 宣布暫停 imBTC 轉帳，因其發現有攻擊者通過 ERC777 在Uniswap 流動性合約中的重入漏洞，對 ETH-imBTC 池循環套利。此次的攻擊手法是一個存在於Uniswap v1 上的已知漏洞，該漏洞最早由 Consensys 於 2019 年4 月發現，當時 Consensys 只是發現了該風險，還沒有發現可以利用這種手法進行攻擊的 token。隨後，在 imBTC 上線 Uniswap 後，由於 imBTC 是基於 ERC777 實現的，通過組合 ERC777 的特性及 Uniswap 代碼上的問題，使攻擊者可以通過重入漏洞實現套利。下面，我們將來分析此次套利中的攻擊手法和具體的細節。

內容目錄

知識準備

ERC777 協議是以太坊上的代幣標準協議，該協議是以太坊上 ERC20 協議的改進版，主要的改進點如下：

1、使用和發送以太相同的理念發送 token，方法為：send(dest, value, data)

2、合約和普通地址都可以通過註冊 tokensToSend hook 函數來控制和拒絕發送哪些token（拒絕發送通過在 hook 函數 tokensToSend 裡 revert 來實現）

3、合約和普通地址都可以通過註冊 tokensReceived hook 函數來控制和拒絕接受哪些 token（拒絕接受通過在 hook 函數 tokensReceived 裡 revert 來實現）

4、tokensReceived 可以通過 hook 函數可以做到在一個交易裡完成發送代幣和通知合約接受代幣，而不像 ERC20 必須通過兩次調用（approve/transferFrom）來完成

5、持有者可以「授權」和「撤銷」操作員（operators:可以代表持有者發送代幣）這些操作員通常是（去中心化）交易所、支票處理機或自動支付系統

6、每個代幣交易都包含 data 和 operatorData 字段，可以分別傳遞來自持有者和操作員的數據

7、可以通過部署實現 tokensReceived 的代理合約來兼容沒有實現 tokensReceived 函數的地址

在這裡，我們需要特別關注的點是第二點，即 ERC777 標準中的 tokenToSend 函數，根據 ERC777 協議的定義，遵循該標準的 token 代幣在每一次發生代幣轉帳的時候都會去嘗試調用代幣發送者tokensToSend 函數，而代幣持有者可以通過在 ERC1820 註冊合約註冊自己的合約並通過在這個 hook 函數中定義一些操作來處理代幣轉帳的過程中的某些流程，如拒絕代幣發送或其他操作。

了解這些關鍵點，有助於我們理解這次攻擊的具體攻擊手法。現在開始，我們可以稍微加速，看看對於Uniswap 而言，這次到底發生了什麼？

細節分析

通過 Etherscan 查詢攻擊者的其中一筆交易 0x32c83905db61047834f29385ff8ce8cb6f3d24f97e24e6101d8301619efee96e

可以發現，攻擊者兩度向 Uniswap 合約轉帳 imBTC，金額同樣是 0.00823084，然後從 Uniswap 收取了兩筆 ETH，看上去似乎是十分正常的兩筆交易，實際上卻是暗流湧動，另有玄機。為了更好的了解整一筆交易的細節，我們需要通過 bloxy.info 來查看交易的具體細節。

通過查詢交易的細節，我們發現，攻擊者首先是通過 ethToTokenSwapInput 函數向 Uniswap 兌換了一些imBTC，然後再通過 tokenToEthSwapInput 函數開始第一次用 imBTC 換取ETH，然後 Uniswap 先將 ETH 轉給了攻擊者，再調用 imBTC 的 transferFrom 函數，由於 imBTC 實現了ERC777 標準，所以在調用 imBTC 的 trasferFrom 函數的時候， imBTC 會對攻擊者的tokensToSend 函數進行調用。隨後，在攻擊者的 tokensToSend 函數中，攻擊者會進行第二次用imBTC 換取ETH，然後流程結束。

從交易細節上看，這裡似乎還是沒有什麼問題，我們繼續跟蹤 UniSwap 的代碼。

上面是代碼是 Uniswap 的 ethToTokenSwapInput 函數的代碼，根據代碼分析， Uniswap 的ethToTokenSwapInput 函數會調用 ethToTokenInput 函數，然後會先通過 getInputPrice 獲取代幣能換取的 eth 數量，之後通過 send 函數將 eth 發給用戶，最後再通過transferFrom 把代幣轉進合約。我們繼續跟進 getInputPrice 函數。

通過分析 getInputPrice 函數，我們能知道，ETH 獲取量計算的公式為

把該公式放到 ethToTokenInput 函數的上下文中，該公式就變成了

在該公式下，一次正常的 imBTC 兌換 ETH 的過程中，作為分母的 imBTC 儲備量在兌換過後應該要上升，對應的 ETH 儲備量會變小。

但是回顧攻擊者的操作方式，在攻擊者第一次發送 imBTC 兌換 ETH 的過程中，Uniswap 會先發送ETH 給攻擊者，這時候 Uniswap 中ETH 儲備量減少，然後 Uniswap 調用 transferFrom 函數，(注意此時還未將攻擊者的imBTC 扣除)，緊接著在 transferFrom 函數中攻擊者調用的第二次的ethToTokenSwapInput 時，通過 getInputPrice 獲取兌換的ETH 數量的公式會變成這樣：

注意看，在第二次的兌換計算中，只有ETH 的儲備量變少了，而 imBTC 的儲備量並未增加，這導致相比與單獨的調用 ethToTokenSwapInput 函數，攻擊者可以通過重入的方式，在第二次使用 imBTC 兌換ETH 的過程中，使計算公式的分子發生了變化，而公式的分母不會發生變化。相比正常的兌換，攻擊者通過重入方式進行的第二次兌換會獲取微小的利潤，導致有利可圖。重複這樣的過程，就能通過等量的imBTC 獲取更多的 ETH，導致 Uniswap 做事商的損失。