BTC/HKD+0.06%
ETH/HKD+0.13%
LTC/HKD+1.47%
DOT/HKD-0.01%
ADA/HKD-0.53%
SOL/HKD-0.71%
XRP/HKD-0.56%
DOGE/US-1.64%北京時間3月14日，CertiK安全技術團隊發現DeFi穩定幣項目TrueSeigniorageDollar發生新型攻擊事件，總損失高達約1.66萬美金。
此次攻擊事件中攻擊者利用了去中心化組織(DAO)的機制原理，完成了一次不借助"漏洞"的攻擊。
技術分析?
整個攻擊流程如下：
①?攻擊者(地址:0x50f753c5932b18e9ca28362cf0df725142fa6376)通過低價收購大量TrueSeigniorageDollar項目代幣TSD，然后利用大量的投票權，強行通過2號提案。
LBank藍貝殼于4月10日01:00首發 BOSON，開放USDT交易:據官方公告，4月10日01:00，LBank藍貝殼首發BOSON(Boson Protocol)，開放USDT交易，4月9日23:00開放充值，4月12日16:00開放提現。上線同一時間開啟充值交易BOSON瓜分10,000 USDT。
LBank藍貝殼于4月10日01:00開啟充值交易BOSON瓜分10,000 USDT。用戶凈充值數量不少于1枚BOSON ，可按凈充值量獲得等值1%的BOSON的USDT獎勵；交易賽將根據用戶的BOSON交易量進行排名，前30名可按個人交易量占比瓜分USDT。詳情請點擊官方公告。[2021/4/7 19:54:33]
圖1：TSD項目2號提案的目標(惡意)代幣實現合約以及提案人信息
動態 | 可信教育數字身份在廣州白云區首發 采用區塊鏈等技術:12月25日，可信教育數字身份(教育卡)廣東省應用試點首發儀式與應用研討在廣州市白云區舉行。
據介紹，可信教育數字身份融合采用國產密碼、區塊鏈等核心技術，創新簽發“云計算、邊緣計算、移動計算”網絡環境下的一體化數字身份，實現一體化密鑰管理，構建“可信教育身份鏈”。（中國新聞網）[2019/12/25]
②?在2號提案中，攻擊者提議并通過了將位于0xfc022cda7250240916abaa935a4c589a1f150fdd地址的代理合約指向的實際TSD代幣合約地址，改為攻擊者通過另外地址0x2637d9055299651de5b705288e3525918a73567f部署的惡意代幣實現合約。
首發 | 此前18000枚BTC轉賬是交易所Bithumb內部整理:北京鏈安鏈上監測系統發現，北京時間10月24日，17:07分發生了一筆18000枚BTC的轉賬，經分析，這實際上是交易所Bithumb的內部整理工作，將大量100到200枚BTC為單位的UTXO打包成了18筆1000枚BTC的UTXO后轉入其內部地址。通常，對各種“面值”的UTXO進行整數級別的整理，屬于交易所的規律性操作。[2019/10/24]
惡意代幣實現合約地址：0x26888ff41d05ed753ea6443b02ada82031d3b9fb
圖2：代理合約指向的代幣實現合約通過2號提案被替換為惡意代幣實現合約
圖3：攻擊者利用所持地址之一建立惡意代幣實現合約
③?當2號提案被通過后，攻擊者利用地址0x50f753c5932b18e9ca28362cf0df725142fa6376，實施確定提案中包含的新代幣實現合約地址0x26888ff41d05ed753ea6443b02ada82031d3b9fb。
圖4：攻擊者利用所持地址之一確定2號提案，并向所持另一地址鑄造巨額TSD代幣
④?同時，位于0x26888ff41d05ed753ea6443b02ada82031d3b9fb地址的惡意合約中的initialize()方法也會在升級過程中被調用。
通過反編譯惡意合約，可以得知惡意合約的initialize()方法會將約116億枚TSD鑄造給攻擊者的另外一個地址0x2637d9055299651de5b705288e3525918a73567f。
圖5：代理合約合約在升級代幣實現合約的時候會同時調用initialize()方法
圖6：反編譯惡意代幣實現合約中initialize()方法向攻擊者地址鑄造代幣
⑤?當以上攻擊步驟完成后，攻擊者將所得TSD代幣轉換成BUSD，獲利離場。
圖7：攻擊者將116億TSD代幣通過PancakeSwap交易為BUSD
總結
此次攻擊完全沒有利用任何TSD項目智能合約或Dapp的漏洞。
攻擊者通過對DAO機制的了解，攻擊者低價持續的購入TSD，利用項目投資者由于已經無法從項目中獲利后紛紛解綁(unbond)所持代幣之后無法再對提案進行投票的機制，并考慮到項目方擁有非常低的投票權比例，從而以絕對優勢"綁架"了2號提案的治理結果,從而保證其惡意提案被通過。
雖然整個攻擊最后是以植入后門的惡意合約完成的，但是整個實施過程中，DAO機制是完成該次攻擊的主要原因。
CertiK安全技術團隊建議：
從DAO機制出發，項目方應擁有能夠保證提案治理不被"綁架"的投票權，才能夠避免此次攻擊事件再次發生。
幣海引路人：BTC/ETH大跌后橫盤蓄力等待多頭再上新高行情走勢莫測,就像未卜是人生,總有跌宕起伏的時候,交易如同攀爬,只有登上絕頂,才能享受奇觀勝景；若遇難而退,中途放棄,只會與機會擦肩而過.
1900/1/1 0:00:00-熱點時事 昨日受印度全面禁止加密貨幣消息影響,BTC走出了17年94行情的味道,不過力度大打折扣,有興趣的朋友可以自行復盤。牛市中任何回調都是買入機會,大跌大買,小跌小買.
1900/1/1 0:00:00親愛的庫幣用戶： 庫幣已完成對IOST(IOST)持幣用戶空投DonnieFinance(DON)的分發,分發規則如下：庫幣已于10月27日開放TOKO, BCD, DACC.
1900/1/1 0:00:00目前,區塊鏈行業規模正在快速增長,已上升為國家戰略層面進行大力發展,這個行業充滿機遇與挑戰。越來越多的人已經關注到了區塊鏈行業的發展潛力,參與到這個朝陽產業中深耕不輟.
1900/1/1 0:00:00DeFi時代的無須信任 DeFi是基于以太坊等鏈上的智能合約,而以太坊是去中心化的公鏈,它無須許可、無法篡改,這樣的特性帶來了DeFi時代的無須信任、無須許可和透明.
1900/1/1 0:00:00Gate.io全新理財福利產品——“天天理財”已于10月12日正式上線,每天中午12點至少一場理財福利,賺主流幣理財收益.
1900/1/1 0:00:00
比特幣價格
