DAO:權限攻擊：DAO Maker被黑事件分析_Make A Difference Token

摘要:本次攻擊原因很可能是現任管理員密鑰被盜取，SharkTeam提醒您類似授權的關鍵函數應該更多的使用多簽技術，避免單點攻擊風險。北京時間8月12日，DAOMaker遭到黑客攻擊，大量用戶充值的USDC被轉出并換成約2261個以太坊，損失超過700萬美元。

SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。一、事件分析通過查看攻擊者交易情況發現攻擊者共發動了18次攻擊對5252名用戶攻擊。

慢霧余弦：哪怕安全審計過的DeFi都可能存在權限過大風險:慢霧科技創始人今日發微博稱，哪怕安全審計過的DeFi都可能存在權限過大風險，“權限過大”一直以來是個爭議，就看這些權限是什么，比如常見的：鑄幣、銷毀、升級、關鍵數值調整、關鍵權限變更、關鍵風控等等，“權限過大”極端了就可能就成為某種“后門”，這個是需要警惕的。DeFi項目方有責任解釋“權限過大”的意圖，透明出來；安全審計公司也有義務。[2020/9/2]

DAOMakerExploiter1：0xd8428836ed2a36bd67cd5b157b50813b30208f50DAOMakerExploiter2：0xef9427bf15783fb8e6885f9b5f5da1fba66ef931攻擊合約XXX：0x1c93290202424902a5e708b95f4ba23a3f2f3ceeDAOMaker錢包地址：0x41B856701BB8c24CEcE2Af10651BfAfEbb57cf49DAOMaker部署者地址：0x054e71D5f096a0761dba7dBe5cEC5E2Bf898971cDAOMaker管理員地址：0x0eba461d9829c4e464a68d4857350476cfb6f559我們以其中的一次攻擊進行分析，其他的都是一樣的攻擊方式。

動態 | 西班牙電信巨頭將向8000家公司授予其區塊鏈訪問權限:金色財經報道，西班牙電信巨頭西班牙電信Telefonica已經與當地的科學技術公園協會（APTE）合作，向西班牙約8000家公司授予了對其區塊鏈的訪問權限。Telefonica將在APTE的52個站點上部署其基于Hyperledger的區塊鏈的節點。[2020/1/10]

通過交易記錄發現，DAOMakerExploiter1使用攻擊合約XXX的h()函數發起交易，將350名用戶的USDC通過錢包地址轉給攻擊合約XXX后轉給DAOMakerExploiter1，這350名受害者地址以數組的形式傳入交易的inputdata。

聲音 | 澳本聰：“去中心化”一詞已成為一種營銷策略 不存在沒有權限或權力的分布式開發過程:6月6日，澳本聰在其個人網站發文《完全點對點（Fully Peer-to-Peer）》，其表示，2011年，我以Satoshi的身份給Gavin發了最后一封郵件。我構建比特幣是為了讓它成為一個誠實的、不可改變的系統，不會遭受與ecash、自由儲備美元(Liberty Reserve US Dollars)以及其他所有欺詐系統相同的問題。“去中心化”一詞已成為一種營銷策略。分類賬可能是分布式的，但是當討論的是一個沒有設置且可以更改的協議時，那就有了一個由組織控制的軟件開發過程。沒有加密貨幣具有分布式開發過程。事實上，不存在沒有權限或權力的分布式開發過程。確保分布式系統能夠在不受干擾的情況下增長的唯一方法是系統在現有的法律框架內運行，并且開發人員不能更改協議。2015年，有些人想講述我的故事，但是是在我不知情或未經批準的情況下。問題是，他們不知道完整的故事，給那些不希望我是中本聰的人留下了足夠的空白，讓他們播下懷疑的種子，散布徹頭徹尾的謊言。所以在2016年，我別無選擇，只能再次出來。在某種程度上，我之所以使用最初公布比特幣時的郵件列表，是因為我以前的一所大學的一些人。我于2005年進入紐卡斯爾大學攻讀統計學碩士學位，原因有二:首先，大學里的一些人對網絡圖理論和建模非常熟練。我需要這樣的知識來開發比特幣。其次，紐卡斯爾大學的一些人對貨幣體系的數學非常精通。進入大學后，我可以接觸到他們所有的工作，這樣我就可以進行研究。[2019/6/9]

動態 | 網址縮短服務Bitly限制加密貨幣網站訪問權限:據btcmanager報道，網址縮短服務Bitly被發現限制對加密貨幣網站的訪問權限。著名的比特幣影響者Andreas Antonopoulos將在四周發布《掌握以太坊》。他在推特上發文稱，對于Bitly決定阻止該書中的加密貨幣網站鏈接的訪問權限而感到困惑。他現在必須改變書中現有的200個鏈接，并且用另一家網址縮短服務的鏈接替換。[2018/11/7]

對受害者合約的0x50b158e4(withdrawFromUser)函數反編譯結果如下：

可以看到只有msg.sender即：攻擊合約XXX擁有權限方可轉賬成功。查看歷史交易可以發現：122天前合約部署人給現任管理員授權；

而后，一天前現任管理員創建攻擊合約XXX。

現任管理員給攻擊合約XXX授權。

隨后DAOMakerExploiter1調用攻擊合約XXX發起攻擊獲得大量USDC，將其轉換為ETH后轉賬給DAOMakerExploiter2。可以確定至少在一天之前DAOMakerExploiter1和現任管理員是同一個人在操作！！！攻擊者獲得現任管理員的控制權；?管理員創建了攻擊合約XXX并對其授權；DAOMakerExploiter1調用攻擊合約XXX獲利。因此，本次攻擊原因很可能是現任管理員密鑰被盜取，SharkTeam提醒您類似授權的關鍵函數應該更多的使用多簽技術，避免單點攻擊風險。二、安全建議SharkTeam提醒您，在涉足區塊鏈項目時請提高警惕，選擇更穩定、更安全，且經過完備多輪審計的公鏈和項目，切不可將您的資產置于風險之中，淪為黑客的提款機。而作為項目方，智能合約安全關系用戶的財產安全，至關重要！區塊鏈項目開發者應與專業的安全審計公司合作，進行多輪審計，避免合約中的狀態和計算錯誤，為用戶的數字資產安全和項目本身安全提供保障。

Tags：MakerMAKEAOMDAOmakerdao創始人mushgainMake A Difference TokenAOM幣EDAO幣

fil幣價格今日行情