DODO攻擊事件分析：搬起“石頭”，竟砸了自己的腳？_NFT:MAI

一、事件概覽

北京時間2021年3月9日，根據輿情監測顯示，去中心化交易所DODO上的wCRES/USDT資金池似乎被黑客攻擊，轉移走價值近98萬美元的WrappedCRES和近114萬美元的USDT。據DODO官方回復目前團隊正在進行調查。

原文鏈接如下：

https://www.odaily.com/newsflashes/235047.html

Yuga Labs：Mailchimp漏洞可能導致用戶數據被訪問但未被導出，將繼續調查此事:1月19日消息，Yuga Labs在推特上表示：“我們最近了解到電子郵件平臺Mailchimp發生了數據泄露，我們的賬戶是眾多被泄露的賬戶之一。我們只使用過該服務幾次，而且用途有限，但出于謹慎考慮希望分享以下信息。我們從Mailchimp了解到的情況：未經授權的行為者可能訪問了我們帳戶中的數據。但是，目前沒有證據表明任何數據被導出。”

Yuga Labs稱：“我們Mailchimp帳戶中包含的數據是來自幾個涉及有限人數的電子郵件活動的信息。Mailchimp嚴格地用于電子郵件通信，而不是NFT鑄造。下一步我們將繼續調查此事，如果我們認為用戶的數據可能受到Mailchimp漏洞的影響，我們將通過Yuga Labs的電子郵件地址與相關用戶聯系。”

此前1月17日消息，Near發布安全提醒稱，Mailchimp漏洞或將影響Near網頁錢包。[2023/1/19 11:20:38]

△圖1?

Euterpe音樂IP-NFT盲盒公售將于1月4日18:00對全部用戶開放:據官方消息，Euterpe音樂IP-NFT盲盒第三批公售，將在2023年1月4日18:00（UTC+8）對全部用戶開啟，公售價格為0.02ETH，每個用戶地址僅可購買一個IP-NFT盲盒。盲盒種類共分3種，分別包含1個黃金NFT、3個黃金NFT、9個黃金NFT，作品為周深《相守》、單依純《喂》和寵物同謀《Dance Underwater（feat. 提香）》，其中周深、單依純將作為歌手參加“2023年春節聯歡晚會”。Euterpe將于2023年1月8日18:00（UTC+8）在Euterpe官方網站及OpenSea同步開啟NFT交易。[2023/1/4 9:51:44]

成都鏈安安全團隊第一時間針對該事件啟動安全應急響應，并將事件細節分析進行梳理，以供參考。其實，該事件本身來說并不復雜，其攻擊流程也非常簡單。但因該事件涉及到“閃電貸”“重入攻擊”等熱門話題，因此成都鏈安認為有必要對該事件進行發聲。

澳大利亞房地產開發公司Niecon與NFT房地產平臺All Set合作將價值300萬美元的別墅進行代幣化:12月30日消息，澳大利亞房地產開發公司 Niecon 與 NFT 房地產平臺 All Set 合作，將價值 300 萬美元的豪華別墅進行代幣化、分割以及出售，每個碎片價格為 10 美元。本次代幣化房產的銷售將于 2023 年 1 月進行，用戶可在 All Set 網站上購買任意數量的碎片 NFT 或者通過購買所有碎片來獲得房產的所有權。NFT 持有者將可以獲得房子的租金收入。[2022/12/31 22:17:36]

二、事件分析

該事件的攻擊原因主要在于合約的init函數未進行限制，從而導致攻擊者有權利進行調用，如圖2所示：

△圖2

經分析，攻擊者利用了DODO合約中提供的閃電貸工具，首先向合約轉移了兩種空氣幣。緊接著，發起了一筆閃電貸交易。在交易結束之前，調用合約的init函數將幣種指向空氣幣，從而躲過了閃電貸的歸還校驗，如圖3所示。

△圖3

三、安全建議

成都鏈安安全團隊認為，本起事件并不復雜，但值得敲響警鐘，引起廣大項目方的注意。具體而言，首先是DODO的閃電貸函數是進行了重入校驗的，但由于init函數并沒有添加重入校驗，所以導致了類似重入攻擊的發生。

另外，結合成都鏈安審計團隊以往對項目方的安全審計經驗，由于目前代碼的復雜度越來越高，模塊化也隨之越來越多，有許多項目方雖然都使用了init函數進行管理，但需要提醒的是，init函數在solidity中也僅僅只是一個普通函數，在此呼吁廣大項目方與開發者引起重視。切記，不要誤以為取名為“init”，就只能進行一次調用。

同時，我們建議，在日常的安全防護中，項目方也需要做好事無巨細的安全加固工作；通過借助第三方安全公司的專業力量，采用“形式化驗證與人工審核”結合的復合式審計方法，方能實現對項目面面俱到的全方位護航。

Tags：NFTMAIILCIMP2PACNFTMAIN價格newretailcoinSimpli Finance

幣安幣