CertiK：PAID Network攻擊事件還原-ODAILY_CER:AID

2021年3月5日，PAIDNetwork遭受了由于私鑰管理不善而引起的"鑄幣"攻擊。攻擊者使用代理合約私鑰，將原先經過CertiK審計的PAID合約代碼掉包，添加了銷毀和鑄幣的功能函數。因為PAID代幣已達上限，攻擊者先銷毀了6000萬枚PAID代幣，然后再重新鑄造了59,471,745枚PAID，并通過Uniswap出售。CertiK團隊第一時間和PAIDNetwork團隊溝通調查，確認了原代碼并無漏洞，攻擊事件是由私鑰泄露導致的。目前CertiK團隊仍無法確認私鑰泄露的原因，但已經可以將整個攻擊過程還原。PAID事件時間線

CertiK：有黑客在ElseVerse World項目Discord服務器中發布釣魚鏈接:金色財經報道，據CertiK官方推特發布消息稱，有黑客在ElseVerse World項目Discord服務器中發布釣魚鏈接。請勿點擊鏈接獲批準任何交易。[2023/7/19 11:03:42]

2021年3月5日，PAID遭受了持續約30分鐘的攻擊。通過鏈上分析，CertiK團隊總結了攻擊的時間線及操作步驟如下：第一步：合約所有權被轉移給了攻擊者，此時攻擊者在得到私鑰后就已經完全獲得了代理合約的控制權。

Balancer計劃參考veCRV推出veBAL Token經濟模型:2月7日消息，去中心化交易平臺 Balancer 計劃參考 CRV 被鎖定到 veCRV 中的機制設計，推出 veBAL Token 經濟模型，主要包括 veBAL 和治理權、新的 BAL 通脹時間表、鏈上計量系統（用于確定流動性挖礦分布）等。其中 80/20 BAL/ETH 池的 BPT（Balancer 資金池的流動性代幣憑證）將被鎖定到 veBAL 中，任何人都可以將 80/20 BAL/ETH 池的 BPT 鎖定 1 周到 1 年之間的任何時間段而獲得對應的 veBAL，veBAL 可投票決定每個流動性池的獎勵份額，且協議費收取者收取的協議收入的 75% 將分發給 veBAL 持有者。另外 25% 的費用將由 DAO 財務部門作為儲備金保留。[2022/2/8 9:36:27]

Ceramic宣布集成Chainlink VRF，用于構建更多動態NFT的工具集:去中心化網絡存儲協議Ceramic宣布集成Chainlink VRF，用于構建更多動態NFT的工具集。Ceramic是一個主權數據網絡，可讓開發人員在區塊鏈和IPFS上構建豐富的應用程序。Ceramic的免許可數據流網絡直接在去中心化的網絡上存儲信息流和不斷變化的文件，而無需后端。由于所有數據均由跨鏈身份直接管理，因此很容易跨應用程序邊界發現和共享內容。[2021/8/22 22:29:36]

第二步：攻擊者利用代理更新合約，添加了銷毀和鑄幣的功能函數。

第三步：攻擊者銷毀了6000萬枚PAID，留出鑄幣空間。第四步：攻擊者開始鑄幣，并向Uniswap傾銷PAID代幣以換取以太幣。最后，本次事件并沒有攻擊智能合約的代碼本身，而是通過某種渠道獲得了代理合約的私鑰。CertiK在審計報告中的PTN-10章節提出了:AmbiguousFunctionality以及其他章節強調了PAID合約中心化的問題。總結

2021年3月5日，攻擊者獲得PAID代理合約私鑰，替換原有代碼，添加了銷毀和鑄幣的功能函數。攻擊者之后銷毀了6000萬枚PAID代幣，留出鑄幣空間。最后，鑄造了59,471,745枚PAID，并通過Uniswap出售了2,401,203枚代幣。客觀來看，本次攻擊事件中攻擊者并沒有找到任何原合約的漏洞，而是直接獲得了代理合約私鑰。當合約的可升級性作為項目的預期功能而存在時，它在智能合約中確實有其存在的價值。而這種類型的功能要求合約所有者以及部署者在確保代碼基本安全的同時，同樣必須保證私鑰的安全。CertiK將會在未來更多地強調并關注中心化及私鑰保護等相關問題。

復制下方鏈接至瀏覽器，查看CertiK于2021年1月24日為PAIDNetwork出具的審計報告：https://certik.org/projects/paidnetwork

Tags：CERPAIDAIDPAICoinlancerPAID價格AidCoinPAI價格

火必APP