OMA:權限攻擊：DAO Maker被黑事件分析_DAO

摘要:本次攻擊原因很可能是現任管理員密鑰被盜取，SharkTeam提醒您類似授權的關鍵函數應該更多的使用多簽技術，避免單點攻擊風險。北京時間8月12日，DAOMaker遭到黑客攻擊，大量用戶充值的USDC被轉出并換成約2261個以太坊，損失超過700萬美元。

SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。一、事件分析通過查看攻擊者交易情況發現攻擊者共發動了18次攻擊對5252名用戶攻擊。

Yuga Labs聯合創始人：已銷毀擁有無限鑄造無聊猿權限的私鑰:6月8日消息，Yuga Labs 的聯合創始人兼開發人員 EmperorTomatoKetchup 在其社交網站上表示，擁有無聊猿 NFT 無限鑄造權限的私鑰已經被銷毀。

此前報道，6 月 6 日，加密開發者 foobar 在其社交網站表示，無聊猿 BAYC 合約存在一個擁有無限增發權限的私鑰，如果該私鑰被黑客攻擊獲取，市場上或將出現無聊猿傾銷。[2022/6/8 4:10:57]

DAOMakerExploiter1：0xd8428836ed2a36bd67cd5b157b50813b30208f50DAOMakerExploiter2：0xef9427bf15783fb8e6885f9b5f5da1fba66ef931攻擊合約XXX：0x1c93290202424902a5e708b95f4ba23a3f2f3ceeDAOMaker錢包地址：0x41B856701BB8c24CEcE2Af10651BfAfEbb57cf49DAOMaker部署者地址：0x054e71D5f096a0761dba7dBe5cEC5E2Bf898971cDAOMaker管理員地址：0x0eba461d9829c4e464a68d4857350476cfb6f559我們以其中的一次攻擊進行分析，其他的都是一樣的攻擊方式。

flash.sx閃電貸智能合約遭攻擊，項目方發起提案更改黑客EOS賬號權限以轉回資產:官方消息，EOS Nation旗下閃電貸被黑客攻擊后，項目方發起提案直接更改了黑客EOS賬號權限轉回資產。據悉，項目方發起的提案，把黑客地址權限改成了BP，BP通過后執行。此前消息，flash.sx閃電貸智能合約遭攻擊，120萬EOS和46.2萬USDT被盜。[2021/5/15 22:05:44]

通過交易記錄發現，DAOMakerExploiter1使用攻擊合約XXX的h()函數發起交易，將350名用戶的USDC通過錢包地址轉給攻擊合約XXX后轉給DAOMakerExploiter1，這350名受害者地址以數組的形式傳入交易的inputdata。

聲音 | 西南財經大學陳文：未來跨鏈競合中區塊鏈相關節點權限劃分將更為多元:金色財經報道，西南財經大學普惠金融與智能金融研究中心副主任陳文表示，要提高聯盟鏈的參與度，就是要在不傷害金融機構與產業巨頭的利益的前提下，同時能夠解決一些痛點問題。區塊鏈的應用可以是“大”鏈也可以是“小”鏈，但其得到應用的前提是解決利益問題。供應鏈金融模式本身就是閉環，區塊鏈技術的引入更多是為了防止這個閉環內部的參與方造假，降低內部的道德風險問題。最初的公有鏈，金融機構和產業主體參與度普遍不高，因為這種去中心的鏈，去的是金融機構和產業巨頭這個中心，但聯盟鏈推出后金融機構和產業巨頭的參與度明顯提高，因為區塊鏈的應用在不傷害他們的利益的同時能夠解決一些痛點問題。在聯盟鏈中區塊鏈相關節點的權限就已經存在差異，并非公有鏈中完全的平等，在未來的跨鏈競合中區塊鏈的相關節點權限劃分將更為多元，從而確保在參與方利益得到保障的前提下實現聯盟鏈間的有機整合。[2019/12/14]

公告 | 火幣全球站新增 API Key 權限管理功能:據火幣官方公告，火幣全球站新增 API Key 權限管理功能。變更內容如下：

1、當用戶創建一個新的 API Key 時， 用戶可以為每個 API Key 分配一個或多個權限;

2、有三種權限供用戶選擇:只讀、交易和提幣；

3、只有在火幣官方 API 文檔中提供的驗簽接口才能用 API Key 調用；

4、現有的 API Key 會默認擁有所有的權限，用戶可以通過 API 管理頁面對現有的 API Key 進行設置。[2019/6/6]

對受害者合約的0x50b158e4(withdrawFromUser)函數反編譯結果如下：

可以看到只有msg.sender即：攻擊合約XXX擁有權限方可轉賬成功。查看歷史交易可以發現：122天前合約部署人給現任管理員授權；

而后，一天前現任管理員創建攻擊合約XXX。

現任管理員給攻擊合約XXX授權。

隨后DAOMakerExploiter1調用攻擊合約XXX發起攻擊獲得大量USDC，將其轉換為ETH后轉賬給DAOMakerExploiter2。可以確定至少在一天之前DAOMakerExploiter1和現任管理員是同一個人在操作！！！攻擊者獲得現任管理員的控制權；?管理員創建了攻擊合約XXX并對其授權；DAOMakerExploiter1調用攻擊合約XXX獲利。因此，本次攻擊原因很可能是現任管理員密鑰被盜取，SharkTeam提醒您類似授權的關鍵函數應該更多的使用多簽技術，避免單點攻擊風險。二、安全建議SharkTeam提醒您，在涉足區塊鏈項目時請提高警惕，選擇更穩定、更安全，且經過完備多輪審計的公鏈和項目，切不可將您的資產置于風險之中，淪為黑客的提款機。而作為項目方，智能合約安全關系用戶的財產安全，至關重要！區塊鏈項目開發者應與專業的安全審計公司合作，進行多輪審計，避免合約中的狀態和計算錯誤，為用戶的數字資產安全和項目本身安全提供保障。

Tags：OMADAOAOMMakerOMAX幣NDAO幣AOM價格MakerDAO

幣安下載