本文由CertiK原創,授權金色財經首發。
北京時間3月14日,CertiK安全技術團隊發現DeFi穩定幣項目True Seigniorage Dollar發生新型攻擊事件,總損失高達約1.66萬美金。
此次攻擊事件中攻擊者利用了去中心化組織(DAO)的機制原理,完成了一次不借助"漏洞"的攻擊。
整個攻擊流程如下:
① 攻擊者
地址:
0x50f753c5932b18e9ca28362cf0df725142fa6376
通過低價收購大量True Seigniorage Dollar項目代幣TSD,然后利用大量的投票權,強行通過2號提案。
首發 | 歐科云鏈推出“天眼方案”推動鏈上安全系統再升級:8月28日,區塊鏈產業集團歐科云鏈宣布推出區塊鏈“天眼方案”,主要通過鏈上數據追蹤系統研發、對外技術支持、凝聚企業眾力等途徑,全面助力區塊鏈安全提升和產業平穩健康發展。
據了解,在“天眼方案”下,歐科云鏈集團將打造鏈上數據追蹤系統,通過溯源數字資產、監控非法交易等手段,全力遏制洗錢等非法行為;協助執法機關辦案,并為打造法務等區塊鏈系統提供技術支持;為聯盟鏈和基于各類業務的鏈上數據提供區塊鏈+大數據的解決方案。[2020/8/28]
首發 | 此前18000枚BTC轉賬是交易所Bithumb內部整理:北京鏈安鏈上監測系統發現,北京時間10月24日,17:07分發生了一筆18000枚BTC的轉賬,經分析,這實際上是交易所Bithumb的內部整理工作,將大量100到200枚BTC為單位的UTXO打包成了18筆1000枚BTC的UTXO后轉入其內部地址。通常,對各種“面值”的UTXO進行整數級別的整理,屬于交易所的規律性操作。[2019/10/24]
圖1:TSD項目2號提案的目標(惡意)代幣實現合約以及提案人信息
② 在2號提案中,攻擊者提議并通過了將位于0xfc022cda7250240916abaa935a4c589a1f150fdd地址的代理合約指向的實際TSD代幣合約地址,改為攻擊者通過另外地址0x2637d9055299651de5b705288e3525918a73567f部署的惡意代幣實現合約。
首發 | 螞蟻礦機S17真機圖首次曝光 采用雙筒風扇及一體機設計 ?:繼正式宣布在4月9日現貨銷售后,比特大陸即將發布的新品螞蟻礦機S17又有了新動態。據悉,螞蟻礦機S17真機圖今天在網上首次曝光。
從曝光的圖片來看,螞蟻礦機S17延續上一代產品S15的雙筒風扇設計,且采用一體機的機身設計。有業內人士認為,采用雙筒設計可有效縮短風程,礦機出入風口的溫差變小,機器性能將得到很大改善。
此前比特大陸產品負責人在接受媒體采訪時表示,新品S17較上一代產品相比,無論是在能效比還是單位體積的算力等方面,均有較大提升。[2019/4/3]
惡意代幣實現合約地址:
0x26888ff41d05ed753ea6443b02ada82031d3b9fb
IMEOS首發 EOS Go公布新增兩條復選條件 :據金色財經合作伙伴IMEOS報道:今日,EOS Go在 steemit上公布新增的兩條復選條件為:
1. 保證安全的計劃:候選節點是否在steemit上發布文章介紹該節點的安全方法和計劃,“安全方法”標準是向EOS選民展示安全最佳實踐知識和組織實施計劃的機會;
2. 立場:描述該節點分享通脹獎勵和/或向EOS代幣持有人派發股息的立場(候選節點在steemit發布)。主要闡述以下兩個問題:
該組織是否會出于任何原因向EOS令牌選民提供支付,包括BP選舉和社區建議?
該組織是否有書面的無票付款政策?如果是這樣,請提供一個鏈接。[2018/4/27]
圖2:代理合約指向的代幣實現合約通過2號提案被替換為惡意代幣實現合約
圖3:攻擊者利用所持地址之一建立惡意代幣實現合約
③ 當2號提案被通過后,攻擊者利用地址0x50f753c5932b18e9ca28362cf0df725142fa6376,實施確定提案中包含的新代幣實現合約地址0x26888ff41d05ed753ea6443b02ada82031d3b9fb。
圖4:攻擊者利用所持地址之一確定2號提案,并向所持另一地址鑄造巨額TSD代幣
④ 同時,位于0x26888ff41d05ed753ea6443b02ada82031d3b9fb地址的惡意合約中的initialize()方法也會在升級過程中被調用。
通過反編譯惡意合約,可以得知惡意合約的initialize()方法會將約116億枚TSD鑄造給攻擊者的另外一個地址0x2637d9055299651de5b705288e3525918a73567f。
圖5:代理合約合約在升級代幣實現合約的時候會同時調用initialize()方法
圖6:反編譯惡意代幣實現合約中initialize()方法向攻擊者地址鑄造代幣
⑤ 當以上攻擊步驟完成后,攻擊者將所得TSD代幣轉換成BUSD,獲利離場。
圖7:攻擊者將116億TSD代幣通過PancakeSwap交易為BUSD
此次攻擊完全沒有利用任何TSD項目智能合約或Dapp的漏洞。
攻擊者通過對DAO機制的了解,攻擊者低價持續的購入TSD,利用項目投資者由于已經無法從項目中獲利后紛紛解綁(unbond)所持代幣之后無法再對提案進行投票的機制,并考慮到項目方擁有非常低的投票權比例,從而以絕對優勢"綁架"了2號提案的治理結果, 從而保證其惡意提案被通過。
雖然整個攻擊最后是以植入后門的惡意合約完成的,但是整個實施過程中,DAO機制是完成該次攻擊的主要原因。
CertiK安全技術團隊建議:
從DAO機制出發,項目方應擁有能夠保證提案治理不被"綁架"的投票權,才能夠避免此次攻擊事件再次發生。
盡管狗狗幣(DOGE)的價格在周末再次上漲至0.06美元以上,但這一次基于可愛狗的另一個代幣從埃隆·馬斯克社交媒體帖子的宣傳受益.
1900/1/1 0:00:00比特幣的價值是共識的結果(social construct)。知道、買賣和使用它的用戶越多,其價值基礎就越堅固。目前上述三個指標都在增長.
1900/1/1 0:00:00DeFi項目安全問題頻發,預言機賽道風險該如何避免?未來預言機又將如何發展?3月22日14:00,金色財經DeFi安全專場第2場.
1900/1/1 0:00:00美國銀行(Bank?of?America?Corp.)策略師認為:比特幣的價格可能比其他一些資產受到資金流入的影響更大.
1900/1/1 0:00:00今年全國兩會期間,區塊鏈成為兩會代表、委員關注的“熱詞”。近日,第十三屆全國人民代表大會第四次會議審查了國務院提出的《中華人民共和國國民經濟和社會發展第十四個五年規劃和2035年遠景目標綱要(草.
1900/1/1 0:00:00技術與人,誰將被馴服?這是個問題。2017年12月,在整個冬季穩步攀爬的比特幣價格迎來大幅飆升,首次突破1萬美元。短短兩周后,一枚比特幣等值于19650美元,全球嘩然.
1900/1/1 0:00:00