BTC/HKD+2.86%
ETH/HKD+0.22%
LTC/HKD+4.54%
DOT/HKD-4.02%
ADA/HKD-6.29%
SOL/HKD+1.59%
XRP/HKD-0.12%
DOGE/US-1.94%本文由CertiK原創，授權金色財經首發。
北京時間3月14日，CertiK安全技術團隊發現DeFi穩定幣項目True Seigniorage Dollar發生新型攻擊事件，總損失高達約1.66萬美金。
此次攻擊事件中攻擊者利用了去中心化組織(DAO)的機制原理，完成了一次不借助"漏洞"的攻擊。
整個攻擊流程如下：
① 攻擊者
地址:
0x50f753c5932b18e9ca28362cf0df725142fa6376
通過低價收購大量True Seigniorage Dollar項目代幣TSD，然后利用大量的投票權，強行通過2號提案。
LBank藍貝殼于5月3日20:00首發 CSPR(Casper)，開放USDT交易:據官方公告，5月3日20:00，LBank藍貝殼上線 CSPR(Casper)，開放USDT交易，同時并開放充值，資料顯示，Casper網絡是基于CasperCBC規范構建的第一個實時權益證明區塊鏈。Casper旨在加速當今企業和開發人員對區塊鏈技術的采用，同時確保隨著網絡參與者需求的發展，其在未來仍能保持高性能。[2021/5/3 21:19:51]
圖1：TSD項目2號提案的目標(惡意)代幣實現合約以及提案人信息
首發 | 劉堯：百度區塊鏈推出天鏈平臺賦能鏈上業務:12月20日，由CSDN主辦的“2019中國區塊鏈開發者大會”12月20日在北京舉行。百度智能云區塊鏈產品負責人劉堯以《企業區塊鏈賦能產業創新落地》為主題進行了演講，他指出：2020年將是區塊鏈企業落地的元年，為了支持中國區塊鏈的產業落地，百度將區塊鏈進行平臺化戰略升級，依托百度智能云推出天鏈平臺，就是要賦能360行的鏈上業務創新落地。[2019/12/20]
② 在2號提案中，攻擊者提議并通過了將位于0xfc022cda7250240916abaa935a4c589a1f150fdd地址的代理合約指向的實際TSD代幣合約地址，改為攻擊者通過另外地址0x2637d9055299651de5b705288e3525918a73567f部署的惡意代幣實現合約。
首發 | 此前18000枚BTC轉賬是交易所Bithumb內部整理:北京鏈安鏈上監測系統發現，北京時間10月24日，17:07分發生了一筆18000枚BTC的轉賬，經分析，這實際上是交易所Bithumb的內部整理工作，將大量100到200枚BTC為單位的UTXO打包成了18筆1000枚BTC的UTXO后轉入其內部地址。通常，對各種“面值”的UTXO進行整數級別的整理，屬于交易所的規律性操作。[2019/10/24]
惡意代幣實現合約地址：
0x26888ff41d05ed753ea6443b02ada82031d3b9fb
首發 | DVP: Bitstamp交易所存在漏洞 可導致大量KYC等信息被泄露:金色財經訊，近日，DVP收到安全人員提交的全球知名交易所Bitstamp的漏洞，攻擊者可以利用該漏洞查看大量用戶ID、銀行卡等敏感信息，嚴重威脅用戶信息安全。為避免發生KYC泄露的惡性事件，DVP安全團隊在收到該漏洞后，第一時間通知該平臺進行修復，但未收到回應。DVP提醒相關用戶關注個人信息安全，以免造成損失。[2019/8/13]
圖2：代理合約指向的代幣實現合約通過2號提案被替換為惡意代幣實現合約
圖3：攻擊者利用所持地址之一建立惡意代幣實現合約
③ 當2號提案被通過后，攻擊者利用地址0x50f753c5932b18e9ca28362cf0df725142fa6376，實施確定提案中包含的新代幣實現合約地址0x26888ff41d05ed753ea6443b02ada82031d3b9fb。
圖4：攻擊者利用所持地址之一確定2號提案，并向所持另一地址鑄造巨額TSD代幣
④ 同時，位于0x26888ff41d05ed753ea6443b02ada82031d3b9fb地址的惡意合約中的initialize()方法也會在升級過程中被調用。
通過反編譯惡意合約，可以得知惡意合約的initialize()方法會將約116億枚TSD鑄造給攻擊者的另外一個地址0x2637d9055299651de5b705288e3525918a73567f。
圖5：代理合約合約在升級代幣實現合約的時候會同時調用initialize()方法
圖6：反編譯惡意代幣實現合約中initialize()方法向攻擊者地址鑄造代幣
⑤ 當以上攻擊步驟完成后，攻擊者將所得TSD代幣轉換成BUSD，獲利離場。
圖7：攻擊者將116億TSD代幣通過PancakeSwap交易為BUSD
此次攻擊完全沒有利用任何TSD項目智能合約或Dapp的漏洞。
攻擊者通過對DAO機制的了解，攻擊者低價持續的購入TSD，利用項目投資者由于已經無法從項目中獲利后紛紛解綁(unbond)所持代幣之后無法再對提案進行投票的機制，并考慮到項目方擁有非常低的投票權比例，從而以絕對優勢"綁架"了2號提案的治理結果, 從而保證其惡意提案被通過。
雖然整個攻擊最后是以植入后門的惡意合約完成的，但是整個實施過程中，DAO機制是完成該次攻擊的主要原因。
CertiK安全技術團隊建議：
從DAO機制出發，項目方應擁有能夠保證提案治理不被"綁架"的投票權，才能夠避免此次攻擊事件再次發生。
投資,還是投機？ 從今年開始,頻頻有硅谷科技大佬、美國金融巨頭出面為比特幣站臺。特斯拉宣布購買價值15億美元的比特幣資產；美國歷史最悠久的銀行BNY Mello開始支持比特幣資產存儲和交易；萬事.
1900/1/1 0:00:00在幣圈,最令人羨慕的不是買了暴漲幣,而是空手套白狼,低成本甚至零成本擼了項目方空投羊毛。細數一下過去一年DeFi世界的神仙級空投,毫不夸張的講,用心一點,擼出一輛保時捷是沒有任何問題啊.
1900/1/1 0:00:00大家好,我是佩佩,這期稍微來聊一個項目——matic,目前項目名已變更為polygon,不過代幣各平臺還是顯示的Matic.
1900/1/1 0:00:00據路透社3月15日報道,一位高級政府官員表示,印度擬提出一項禁止加密貨幣的法律,對任何在該國進行交易甚至持有這種數字資產的人進行罰款.
1900/1/1 0:00:00小城達拉特曾以大型比特幣礦場聚集而聞名業內。過去幾年,虛擬貨幣的淘金客紛紛涌向這里。在24小時不間斷的機器噪音中,“礦工們”一度做著賽博朋克式的發財大夢。而現在,當地的這層色彩正迅速褪去.
1900/1/1 0:00:00聽起來像是陳詞濫調,這又是“新的一天,比特幣又一次的新高”,在過去幾個小時里超過5%的漲幅之后,世界上最大的加密貨幣比特幣突破了人們期待已久的6萬美元大關,隨著加密領域的發展.
1900/1/1 0:00:00
買比特幣
