BTC/HKD-0.15%
ETH/HKD+0.31%
LTC/HKD-2.15%
DOT/HKD-1.45%
ADA/HKD-1.02%
SOL/HKD+0.54%
XRP/HKD-4.15%
DOGE/US-1%8月12日，根據DAO Maker電報群用戶反饋，該項目疑似遭到黑客攻擊，價值700萬美元的USDC被黑客提取至未知地址。團隊經過分析后，發現該事件的起因是私鑰泄露或者內部人士所為。
通過我們的交易分析系統（https://tx.blocksecteam.com）我們發現，攻擊的過程非常簡單。攻擊交易的hash是：
0x26aa86261c834e837f6be93b2d589724ed5ae644bc8f4b8af2207e6bd70828f9
涉及到的地址：
0x41b856701bb8c24cece2af10651bfafebb57cf49: 受害者錢包
MakerDAO社區通過批準GNO為Spark Protocol抵押資產的民意投票:5月21日消息，MakerDAO 社區通過批準 GNO 為 Spark Protocol 抵押資產的民意投票，之后會提交執行投票。Spark Protocol 是 MakerDAO 最近啟動的借貸協議 Spark Protocol。[2023/5/21 15:17:08]
0x1c93290202424902a5e708b95f4ba23a3f2f3cee: XXX，攻擊者合約
0x0eba461d9829c4e464a68d4857350476cfb6f559：中間人
穩定幣協議QiDAO推出QiDAO V2，引入新的清算引擎并改進風險管理功能:6月29日消息，穩定幣協議QiDAO推出更新版本QiDAO V2，新功能包括新的清算引擎、改進的風險管理功能、特定于鏈的定制、保險庫棄用、多個前端。此外，QiDAO V2解決了社區的需求：限制每個保險庫可以擁有的債務規模；持續的流動性監控；新的保險庫和預言機代碼都必須在發布前得到DAO的批準。[2022/6/29 1:38:41]
0x054e71d5f096a0761dba7dbe5cec5e2bf898971c：受害合約創建者（也是攻擊者）
Milita.Games鏈游正式完成社區自治DAO:據官方消息，Militia.Games鏈游目前正式完成DAO升級，游戲將在短期內上線Milita.Games2.0版本。[2022/3/13 13:53:50]
攻擊者XXX （0x1c93290202424902a5e708b95f4ba23a3f2f3cee）調用受害者錢包合約(0x41b856701bb8c24cece2af10651bfafebb57cf49)的函數查詢用戶余額，然后調用withdrawFromUser將錢轉到自己的賬戶。攻擊完成。由于轉賬的操作是一個特權操作，因此通常需要對調用者的身份做校驗。我們通過分析發現，攻擊者確實具有相應的權限來將受害者錢包中的余額轉出。
Boring DAO總鎖倉量超過三千萬美元，并已鑄造961枚比特幣錨定幣:11月17日，去中心化資產橋Boring DAO的總鎖定資產已經超過3000萬美元，根據DeBank數據顯示，比特幣錨定幣oBTC已鑄造961枚。
BoringDAO于11/12日開啟oBTC鑄幣隧道后，現已超過pBTC與imBTC的總量，并吸引了許多DeFi社區與BTC社區的關注，該團隊旨在用更加去中心化的方式，讓BTC可以更加簡單的參與其他區塊鏈的DeFi，即讓所有區塊鏈成為BTC的layer2，該開發團隊在近期會宣布下一條支持的區塊鏈。[2020/11/17 21:05:58]
這里的問題就變成為什么攻擊者能具有相應的權限？通過進一步分析我們發現另外一筆交易。這一筆交易將攻擊者賦予具有轉賬的權限。交易trace如下：
0x2fba930502d27f9c9a2f2b9337a0149534dda7527029645752b2a6507ca6b0d6
0x0eba461d9829c4e464a68d4857350476cfb6f559調用受害者合約的grantRole函數將攻擊者0x1c93賦予具有轉賬的權限。但是能調用grantRole賦予其他賬戶權限，那么0x0eba4必須具有admin的權限。那么他的admin權限是誰授予的呢？
繼續追蹤，我們發現它的admin權限是由另外一筆交易完成的。
0x054e71d5f096a0761dba7dbe5cec5e2bf898971c賬戶將0x0eba461d9829c4e464a68d4857350476cfb6f559賬戶設置成受害合約的admin。
然而我們發現，受害合約是由0x054e71d5f096a0761dba7dbe5cec5e2bf898971c創建的。
總結一下，整個的流程是：
那問題就來了，為什么部署受害者合約的0x054e最后間接賦予了攻擊者能轉賬的特殊權限呢？這里有兩個可能性。第一個0x054e是內鬼，第二個就是私鑰泄露。
另外一個有趣的點就是攻擊者的合約是開源的，代碼簡單易懂，可以作為學習合約開發的啟蒙教程。
但是受害者的合約代碼是不開源的。這有點匪夷所思。不開源的錢包也有人敢用？
Ankr 推出的平行鏈債券代表鎖定在眾貸池中資金的權益證明,意在使參與平行插槽拍賣的用戶避免資產長期鎖倉帶來的流動性「損失」.
1900/1/1 0:00:00繼8月30日,OEC公鏈首發部署CryptoGladiator（角斗士）,取得1小時3萬注冊用戶,3天8萬注冊,1.2萬日活的數據之后.
1900/1/1 0:00:00「拳皇97」在傳播的意義上很成功,這得益于特殊的時代背景。—— 知名創意機構 W 內部分享作為最近備受關注的公鏈Solana,其上的鏈游自然也開始吸引到更多的目光.
1900/1/1 0:00:00經過兩個多月的打磨、322 次提交和 19 個小版本迭代,ABT Node 1.4.0 版于 2021 年 7 月 14 日正式發布.
1900/1/1 0:00:00NFT 圈越來越像兩個月前的幣圈,在區塊鏈上開起了「動物園」,而且你真的能在這一次的「動物園」里看到各種各樣的「動物」.
1900/1/1 0:00:00今天帶來第四個優質空投（Opensea） OpenSea 是目前以太坊網絡上規模最大的 NFT（非同質化代幣）買賣市場.
1900/1/1 0:00:00
加密貨幣交易所
