AKI:安全團隊：GenomesDAO遭攻擊因合約可被任意重復初始化設置關鍵參數_Ethereum Stake

Polygon生態項目GenomesDAO遭受黑客攻擊，導致其LPSTAKING合約中資金被非預期的取出。慢霧安全團隊分析如下：

1.由于GenomesDAO的LPSTAKING合約的initialized函數公開可調用且無權限與不可能重復初始化限制，攻擊者利用initialized函數將合約的stakingToken設置為攻擊者創建的虛假LP代幣。

安全團隊：BSC上的ORT)項?遭受攻擊:1月17日消息，據Fairyproof監測，BSC上的 OMNI Real Estate Token (ORT) 項?遭受攻擊，攻擊原因疑似為合約代碼有漏洞。

攻擊者地址為：0x9BbD94506398a1459F0Cd3B2638512627390255e，其中?個攻擊合約為

0x0eFfECA3dBCBcda4d5e4515829b0d42181700606，攻擊初始gas來源 FixedFloat熱錢包，攻擊者獲利超過236個BNB，價值約70705美元。

漏洞合約為項?的 StakingPool合約，在 _Check_reward 函數中，當 durations 為0時，條件判斷沒有覆蓋，會返回?個上次的全局變量值（預期外的值），造成獎勵計算錯誤。

攻擊者調?invest函數時， end_date 輸?為0，此時合約未驗證?戶輸?，因此合約可以繼續運?， duration[msg.sender] = 0 ,?在 _Check_reward 函數中也未驗證 durations 的值，并且在 _Check_reward 函數中使?了全局變量來參與計算，多重因素造成了?錯誤的獎勵值。[2023/1/17 11:15:57]

2.隨后攻擊者通過stake函數進行虛假LP代幣的抵押操作，以獲得大量的LPSTAKING抵押憑證。

安全團隊：NFT項目Ugly Bros Discord遭攻擊并發布釣魚鏈接:6月26日消息，據CertiK監測，Cardano鏈上NFT項目Ugly Bros的Discord遭到攻擊并發布包括網絡釣魚鏈接的公告。請社區用戶不要點擊任何鏈接與之交互。[2022/6/26 1:32:37]

3.獲得憑證后再次通過initialized函數將合約的stakingToken設置為原先真是的LP代幣，隨后通過withdraw函數銷毀LPSTAKING憑證獲取合約中真實的LP抵押物。

安全團隊：WomenUnite NFT項目方給自己mint250個NFT后又立刻停止合約:4月10日消息，BlockSec告警系統于4月10日下午21點57分發現WomenUnite NFT合約重新開啟，開啟后項目方給自己mint了250個NFT后又立刻停止合約，目前項目方擁有1569個NFT占全部數量的26.9%。[2022/4/10 14:15:19]

4.最后將LP發送至DEX中移除流動性獲利。

本次事件是因為GenomesDAO的LPSTAKING合約可被任意重復初始化設置關鍵參數而導致合約中的抵押物被惡意耗盡。

Tags：STASTAKAKIINGSafe StarEthereum StakeAKI價格LING幣

Coinw