DODO:DODO攻擊事件分析：搬起“石頭”，竟砸了自己的腳？_LBank

安全態勢感知平臺]輿情監測顯示，去中心化交易所DODO上的wCRES/USDT資金池似乎被黑客攻擊，轉移走價值近98萬美元的WrappedCRES和近114萬美元的USDT。據DODO官方回復目前團隊正在進行調查。

原文鏈接如下：

https://www.odaily.com/newsflashes/235047.html

DODO發布2023年路線圖，計劃推出收入分成、復制交易等功能:1月18日消息，去中心化交易平臺DODO近期發布2023年路線圖，并表示將繼續擴大全球范圍，完善永續合約功能。具體如下：

2023年Q1，DODO的交易小部件將支持收入分成功能；DODOV3升級的第一階段專注于做市商，允許他們從零售用戶那里借入流動性，執行多代幣做市，以及獲得更低的Gas費；DODO去中心化流動性聚合服務SmartTrade進行升級。

2023年Q2，DODOV3升級的第二階段將引入杠桿交易工具；DODO推薦系統升級，更利于用戶。

2023年Q3， DODOV3升級的第三階段推出去中心化共同基金工具，該工具允許基金經理根據客戶的行為進行投資。

2023年Q4，推出DODO首支指數基金以及復制交易功能。[2023/1/18 11:18:14]

△圖1

DODO社區發起旨在啟用vDODO傳輸功能的提案:金色財經報道，據官方消息，去中心化交易平臺DODO社區發起DIP-5提案，提議啟用vDODO傳輸功能，旨在未來允許更多代幣實用程序和用例。現已開放供討論，投票將于2021年7月21日下午1點開始。[2021/7/20 1:03:28]

成都鏈安安全團隊第一時間針對該事件啟動安全應急響應，并將事件細節分析進行梳理，以供參考。其實，該事件本身來說并不復雜，其攻擊流程也非常簡單。但因該事件涉及到“閃電貸”“重入攻擊”等熱門話題，因此成都鏈安認為有必要對該事件進行發聲。

LBank藍貝殼上線DODO 1-25倍永續合約交易:據官方消息，LBank藍貝殼上線DODO 1-25倍永續合約交易。

據悉，LBank藍貝殼于2月19日22:00上線DODO 1-25倍永續合約交易。

據了解，LBank推出的永續合約交易目前已上線BTC、ETH、ETC、XLM、BLZ、NEO、ZEC、BEL等多個幣種，后續將陸續上線更多永續合約交易。更多詳情請關注LBank官網公告。[2021/2/19 17:31:31]

二、事件分析

該事件的攻擊原因主要在于合約的init函數未進行限制，從而導致攻擊者有權利進行調用，如圖2所示：

△圖2

經分析，攻擊者利用了DODO合約中提供的閃電貸工具，首先向合約轉移了兩種空氣幣。緊接著，發起了一筆閃電貸交易。在交易結束之前，調用合約的init函數將幣種指向空氣幣，從而躲過了閃電貸的歸還校驗，如圖3所示。

三、安全建議

成都鏈安安全團隊認為，本起事件并不復雜，但值得敲響警鐘，引起廣大項目方的注意。具體而言，首先是DODO的閃電貸函數是進行了重入校驗的，但由于init函數并沒有添加重入校驗，所以導致了類似重入攻擊的發生。

另外，結合成都鏈安審計團隊以往對項目方的安全審計經驗，由于目前代碼的復雜度越來越高，模塊化也隨之越來越多，有許多項目方雖然都使用了init函數進行管理，但需要提醒的是，init函數在solidity中也僅僅只是一個普通函數，在此呼吁廣大項目方與開發者引起重視。切記，不要誤以為取名為“init”，就只能進行一次調用。

同時，我們建議，在日常的安全防護中，項目方也需要做好事無巨細的安全加固工作；通過借助第三方安全公司的專業力量，采用“形式化驗證與人工審核”結合的復合式審計方法，方能實現對項目面面俱到的全方位護航。

Tags：DODODODANKLBankdodo幣行情DOD價格lbank是哪個國家的交易所LBANK最新下載

DOGE