INC:Build Finance攻擊事件分析-ODAILY_RED

0x01：前言

風投DAO組織BuildFinance在社交媒體發文表示，該項目遭遇惡意治理攻擊，攻擊者惡意鑄造了110萬枚BUILD并拋售套利。知道創宇區塊鏈安全實驗室第一時間對本次事件深入跟蹤并進行分析。

0x02：事件詳情

攻擊者Suho

functionvote(uint_proposalId,bool_support)publiclockVotes{require(state(_proposalId)==ProposalState

Incredibuild完成3500萬美元B輪融資，Hiro Capital領投:6月27日消息，分布式軟件和游戲開發加速平臺Incredibuild 完成3500萬美元B輪融資，Hiro Capital領投，Insight Partners參投，估值已接近8億美元。

這筆最新融資將推動Incredibuild在人工智能、元宇宙等眾多行業的創新和增長。Incredibuild 模式與點對點網絡相似，其想法是在任何給定時間，組織網絡中都有空閑CPU，然后有效地劃分繁重的代碼并將其分發到這些CPU實時運行處理。另據Incredibuild公司首席執行官Tami Mazel Shachar透露，去中心化金融“絕對是該公司在不久將來的一個選擇和一個需要專注的領域。”（PR Newswire）[2022/6/28 1:34:47]

else{proposal

動態 | 質押流動性協議Stafi加入Substrate Builders計劃:金色財經報道，為質押資產提供流動性的去中心化協議Stafi今天宣布成為Substrate Builders計劃成員。該項目的背后組織Parity希望為Substrate Builders創造一個空間來解決項目的獨特問題和需求。從目前的開發情況來看，Stafi的開發進展順利，即將進入公共測試網階段。[2020/2/25]

receipt

該函數方法允許任何擁有一定數量資產的用戶發起提案，持有該資產的其他用戶進行投票，函數代碼未發現安全問題，因此我們推測攻擊者可能是通過合約發起的提案。在提案通過后，攻擊者鑄造了100萬個BUILD代幣，耗盡大部分Balancer和Uniswap流動性池的資金：

動態 | Nomic實驗室為Ethereum區塊鏈推出新的Buidler任務運行器:10月初，Nomic實驗室獲得了Ethereum 基金會大約5萬美元的資助。這筆資金被用于處理名為Builder的任務運行器 。任務運行器是一個用于自動化重復任務的計算機程序。這使得測試、編譯和部署代碼更加順暢和快速。Nomic實驗室認為，Ethererum的第一個任務運行器不僅可以簡化程序員的工作，還可以通過Ethereum 開發者工具實現更快的開發進度。Buidler將取代許多單調重復的任務，加速開發過程。[2018/10/29]

而在2021年1月，TimeLock合約將治理權交給了0x5a5a6ebeb61a80b2a2a5e0b4d893d731358d888583：

最后在2022年2月，由Suho.eth發起提案，利用低投票閾值將治理者更換為0xdcc8a38a3a1f4ef4d0b4984dcbb31627d0952c28，惡意接管后鑄幣套現。

0x03：總結

經過完整分析，知道創宇區塊鏈安全實驗室明確了該次事件的源頭由攻擊者創造低閾值提案，讓自己惡意接管了治理權限，去中心化的治理實現是很有必要的，但不應該讓攻擊者可以利用少量投票就通過提案。

Tags：BUILDREDCredINCbuildyourtrustCREDI價格CredefiINCOME價格

Ethereum