宇宙链 宇宙链
Ctrl+D收藏宇宙链
首页 > 狗狗币 > 正文

首发 | 不借助漏洞的攻击?True Seigniorage Dollar攻击事件分析

作者:

时间:1900/1/1 0:00:00

本文由CertiK原创,授权金色财经首发。

北京时间3月14日,CertiK安全技术团队发现DeFi稳定币项目True Seigniorage Dollar发生新型攻击事件,总损失高达约1.66万美金。

此次攻击事件中攻击者利用了去中心化组织(DAO)的机制原理,完成了一次不借助"漏洞"的攻击。

整个攻击流程如下:

① 攻击者

地址: 

0x50f753c5932b18e9ca28362cf0df725142fa6376

通过低价收购大量True Seigniorage Dollar项目代币TSD,然后利用大量的投票权,强行通过2号提案。

首发 | 嘉楠耘智宣布与Northern Data在AI、区块链等高性能计算领域达成战略合作:据官方消息,2020年2月17日,嘉楠耘智宣布与区块链解决方案及数据中心服务提供商Northern Data AG达成战略合作。本次合作的内容涵盖AI、区块链及数据中心运维等高性能计算领域。

嘉楠耘智拥有丰富的高性能计算专用ASIC芯片研发经验。Northern Data AG则专注于区块链和数据中心等高性能计算基础设施的建设。通过本次战略合作,双方将在AI、区块链等新兴领域进一步释放增长潜能。[2020/2/19]

动态 | 可信教育数字身份在广州白云区首发 采用区块链等技术:12月25日,可信教育数字身份(教育卡)广东省应用试点首发仪式与应用研讨在广州市白云区举行。

据介绍,可信教育数字身份融合采用国产密码、区块链等核心技术,创新签发“云计算、边缘计算、移动计算”网络环境下的一体化数字身份,实现一体化密钥管理,构建“可信教育身份链”。(中国新闻网)[2019/12/25]

图1:TSD项目2号提案的目标(恶意)代币实现合约以及提案人信息

② 在2号提案中,攻击者提议并通过了将位于0xfc022cda7250240916abaa935a4c589a1f150fdd地址的代理合约指向的实际TSD代币合约地址,改为攻击者通过另外地址0x2637d9055299651de5b705288e3525918a73567f部署的恶意代币实现合约。

首发 | 蚂蚁矿机S17真机图首次曝光 采用双筒风扇及一体机设计 ?:继正式宣布在4月9日现货销售后,比特大陆即将发布的新品蚂蚁矿机S17又有了新动态。据悉,蚂蚁矿机S17真机图今天在网上首次曝光。

从曝光的图片来看,蚂蚁矿机S17延续上一代产品S15的双筒风扇设计,且采用一体机的机身设计。有业内人士认为,采用双筒设计可有效缩短风程,矿机出入风口的温差变小,机器性能将得到很大改善。

此前比特大陆产品负责人在接受媒体采访时表示,新品S17较上一代产品相比,无论是在能效比还是单位体积的算力等方面,均有较大提升。[2019/4/3]

恶意代币实现合约地址:

0x26888ff41d05ed753ea6443b02ada82031d3b9fb

IMEOS首发 EOS Go公布新增两条复选条件 :据金色财经合作伙伴IMEOS报道:今日,EOS Go在 steemit上公布新增的两条复选条件为:

1. 保证安全的计划:候选节点是否在steemit上发布文章介绍该节点的安全方法和计划,“安全方法”标准是向EOS选民展示安全最佳实践知识和组织实施计划的机会;

2. 立场:描述该节点分享通胀奖励和/或向EOS代币持有人派发股息的立场(候选节点在steemit发布)。主要阐述以下两个问题:

该组织是否会出于任何原因向EOS令牌选民提供支付,包括BP选举和社区建议?

该组织是否有书面的无票付款政策?如果是这样,请提供一个链接。[2018/4/27]

图2:代理合约指向的代币实现合约通过2号提案被替换为恶意代币实现合约

图3:攻击者利用所持地址之一建立恶意代币实现合约

③ 当2号提案被通过后,攻击者利用地址0x50f753c5932b18e9ca28362cf0df725142fa6376,实施确定提案中包含的新代币实现合约地址0x26888ff41d05ed753ea6443b02ada82031d3b9fb。

图4:攻击者利用所持地址之一确定2号提案,并向所持另一地址铸造巨额TSD代币

④ 同时,位于0x26888ff41d05ed753ea6443b02ada82031d3b9fb地址的恶意合约中的initialize()方法也会在升级过程中被调用。

通过反编译恶意合约,可以得知恶意合约的initialize()方法会将约116亿枚TSD铸造给攻击者的另外一个地址0x2637d9055299651de5b705288e3525918a73567f。

图5:代理合约合约在升级代币实现合约的时候会同时调用initialize()方法

图6:反编译恶意代币实现合约中initialize()方法向攻击者地址铸造代币

⑤ 当以上攻击步骤完成后,攻击者将所得TSD代币转换成BUSD,获利离场。

图7:攻击者将116亿TSD代币通过PancakeSwap交易为BUSD

此次攻击完全没有利用任何TSD项目智能合约或Dapp的漏洞。

攻击者通过对DAO机制的了解,攻击者低价持续的购入TSD,利用项目投资者由于已经无法从项目中获利后纷纷解绑(unbond)所持代币之后无法再对提案进行投票的机制,并考虑到项目方拥有非常低的投票权比例,从而以绝对优势"绑架"了2号提案的治理结果, 从而保证其恶意提案被通过。

虽然整个攻击最后是以植入后门的恶意合约完成的,但是整个实施过程中,DAO机制是完成该次攻击的主要原因。

CertiK安全技术团队建议:

从DAO机制出发,项目方应拥有能够保证提案治理不被"绑架"的投票权,才能够避免此次攻击事件再次发生。

标签:TSDEOS区块链BSPRATSDAOPoker EOS区块链存证平台BSPNetwork

狗狗币热门资讯
视频 | 欧易DeFi 20讲(二):以太坊虚拟机EVM到底是什么?

金色财经与欧易OKEx联合推出「欧易DeFi20讲」,深度帮助用户了解DeFi。法官批准Ripple动议,以验证七名美SEC官员公开言论的视频:金色财经消息,美国前联邦检察官James K.Filan发推特表示,在一份只有文本的命令(.

1900/1/1 0:00:00
深度分析:如何应对NFT引发的新侵权问题?

内容概述 NFT已经引起新的侵权问题,这会让艺术家们感到沮丧;从更大的角度来看,虽然问题存在,但由于NFT给艺术家们带来了新的收入来源,因此目前仍未得到重视。如果说要挑一个 2021 年关键词,那么“NFT”十有八九会入选.

1900/1/1 0:00:00
比特币价格跌破6万美元 但这可能酝酿着更大的反弹?

继上周比特币价格又一次创下历史新高后,周日其价格便跌破6万美元,但稳定Token的流入表明,这其实并不是一个大问题。在比特币价格创下历史新高61,950美元之后的一天,其价格涨幅有所减缓,并在3月14日跌至60,000美元以下.

1900/1/1 0:00:00
普通人该如何认知这一轮加密货币大牛市?

开篇言明,这里所提到的普通人,是对指对区块链行业缺乏基础认知,但却有心入场的每一个小白用户。至于普通人参与的方式,可以是投资某一种加密货币,或者是加入区块链行业从业、创业等,亦或是仅仅只流露出一点关注的兴趣.

1900/1/1 0:00:00
YFX即将上线Layer2合约交易

以太坊成功地成为最受欢迎的DeFi应用平台,这样的成功也导致了高昂的gas fee。这使许多用户难以进行简单的交易,尤其是当以太坊涨到2,000美元时,在牛市中gas fee也达到了新高.

1900/1/1 0:00:00
深度了解波卡平行链

随着前两天 Gavin 博士在社区的回复,我们可以窥见的是 Kusama 平行链拍卖可能很快将会到来,那个等待多时的“猛兽”似乎就要冲出牢笼了,而这一刻人们已经等待多时,可以说平行链的正式上线将会是波卡划时代的一刻.

1900/1/1 0:00:00