ALA:DODO攻擊事件分析：搬起“石頭”，竟砸了自己的腳？_avalanche幣的價格

一、事件概覽

北京時間2021年3月9日，根據輿情監測顯示，去中心化交易所DODO上的wCRES/USDT資金池似乎被黑客攻擊，轉移走價值近98萬美元的WrappedCRES和近114萬美元的USDT。據DODO官方回復目前團隊正在進行調查。

原文鏈接如下：

https://www.odaily.com/newsflashes/235047.html

中國環境保護集團上線區塊鏈碳資產核證平臺:金色財經報道，7月12日是2023年“全國低碳日”。記者從中國環境保護集團（中國環保）獲悉，由該集團設計開發的“中國環保區塊鏈碳資產核證平臺”正式上線，這是國內首個互聯網碳資產管理與核證平臺，可實現數字化技術與碳資產核證交融，為采用市場化手段促進行業綠色發展提供新思路。

中國環保是中國較早參與溫室氣體自愿減排項目開發的企業，多年來密切關注國際、國內碳交易政策導向和發展進程，持續跟蹤市場變化情況，積極運用區塊鏈、大數據、物聯網、云計算等新興技術，開展碳足跡、碳核查、碳資產管理業務，設計開發了“中國環保區塊鏈碳資產核證平臺”，并完成首例運用區塊鏈技術核證碳資產的交易。[2023/7/13 10:51:42]

△圖1?

Avalanche C鏈疑似停止出塊:3月23日消息，Conflux聯合創始人Fan Long發文表示，Avalanche C鏈疑似已停止出塊一個小時。對社區接受區塊鏈網絡中斷作為常態感到困惑。似乎沒有人報道，甚至沒有人關心它。我們現在只關注Token的價格嗎？

據Avalanche區塊鏈瀏覽器數據顯示，Avalanche C鏈最新區塊為1小時31分鐘前產出，最新區塊高度為27788298。[2023/3/23 13:20:57]

成都鏈安安全團隊第一時間針對該事件啟動安全應急響應，并將事件細節分析進行梳理，以供參考。其實，該事件本身來說并不復雜，其攻擊流程也非常簡單。但因該事件涉及到“閃電貸”“重入攻擊”等熱門話題，因此成都鏈安認為有必要對該事件進行發聲。

MetaLend部署至Ronin Network，支持抵押Axie Infinity相關NFT進行貸款:2月1日消息，NFT借貸協議MetaLend宣布與Axie Infinity開發商Sky Mavis達成合作，已部署至Ronin Network。Axie Infinity玩家能夠直接在Ronin上抵押其游戲資產（Axies、Mystic Axies、Axie Land）進行貸款，用戶無需出售即可通過其基于Ronin的游戲內資產獲得流動性。[2023/2/1 11:40:45]

二、事件分析

該事件的攻擊原因主要在于合約的init函數未進行限制，從而導致攻擊者有權利進行調用，如圖2所示：

△圖2

經分析，攻擊者利用了DODO合約中提供的閃電貸工具，首先向合約轉移了兩種空氣幣。緊接著，發起了一筆閃電貸交易。在交易結束之前，調用合約的init函數將幣種指向空氣幣，從而躲過了閃電貸的歸還校驗，如圖3所示。

△圖3

三、安全建議

成都鏈安安全團隊認為，本起事件并不復雜，但值得敲響警鐘，引起廣大項目方的注意。具體而言，首先是DODO的閃電貸函數是進行了重入校驗的，但由于init函數并沒有添加重入校驗，所以導致了類似重入攻擊的發生。

另外，結合成都鏈安審計團隊以往對項目方的安全審計經驗，由于目前代碼的復雜度越來越高，模塊化也隨之越來越多，有許多項目方雖然都使用了init函數進行管理，但需要提醒的是，init函數在solidity中也僅僅只是一個普通函數，在此呼吁廣大項目方與開發者引起重視。切記，不要誤以為取名為“init”，就只能進行一次調用。

同時，我們建議，在日常的安全防護中，項目方也需要做好事無巨細的安全加固工作；通過借助第三方安全公司的專業力量，采用“形式化驗證與人工審核”結合的復合式審計方法，方能實現對項目面面俱到的全方位護航。

Tags：區塊鏈AXIAvalancheALA怎么做區塊鏈TAXIavalanche幣的價格SAFEGALAXY 幣

FTT