VERS:DODO攻擊事件分析：搬起“石頭”，竟砸了自己的腳？_Octaverse Games

一、事件概覽

北京時間2021年3月9日，根據輿情監測顯示，去中心化交易所DODO上的wCRES/USDT資金池似乎被黑客攻擊，轉移走價值近98萬美元的WrappedCRES和近114萬美元的USDT。據DODO官方回復目前團隊正在進行調查。

原文鏈接如下：

https://www.odaily.com/newsflashes/235047.html

印度RBI列出穩定幣對發展中經濟體的風險并呼吁全球協調監管:金色財經報道，印度儲備銀行(RBI)在6月28日發布的最新金融穩定報告中聲稱，穩定幣有很大可能損害新興市場和發展中經濟體。該報告列出了穩定幣帶來的六大威脅。印度儲備銀行一直是加密貨幣的堅定批評者，但它“從EMDE（新興市場和發展中經濟體）的角度”特別明確地闡述了它所看到的穩定幣問題。

印度央行借此機會再次呼吁全球協調，它表示，“需要采取全球協調的方法來分析新興市場和發展中經濟體相對于發達經濟體所面臨的風險。在這種背景下，印度擔任G20主席國期間，首要任務之一是建立一個針對無擔保加密資產、穩定幣和DeFi的全球監管框架。”[2023/6/29 22:07:19]

△圖1?

WOOFi DEX 推出鏈上衍生品測試版本:6月26日消息，WOOFi DEX 推出鏈上衍生品測試版本，用戶可以通過訂單簿進行交易，最高杠桿為 10 倍。該衍生品產品由 Orderly Network 提供流動性支持。[2023/6/26 22:01:15]

成都鏈安安全團隊第一時間針對該事件啟動安全應急響應，并將事件細節分析進行梳理，以供參考。其實，該事件本身來說并不復雜，其攻擊流程也非常簡單。但因該事件涉及到“閃電貸”“重入攻擊”等熱門話題，因此成都鏈安認為有必要對該事件進行發聲。

DID信用協議Getaverse ID用戶現已突破10萬:2023年5月26日，金色電音節盛大開啟，Getaverse·中文社區與金色財經攜手主辦，共同展現了Web3的無限魅力。在電音節中場，Getaverse中文社區代表向來賓介紹了該協議的特點和應用場景，引起了熱烈的討論和關注，也為金色電音節增添了一抹科技與創新的色彩。截至目前，Getaverse ID用戶現已突破10萬，更有創新Web3項目不斷入駐生態。

據悉，Getaverse是基于DID（去中心化身份）的信用協議，通過將個人的身份和信用信息存儲在區塊鏈上，為用戶提供了更加安全和可信賴的身份驗證和信用評估機制。[2023/5/26 9:44:41]

二、事件分析

該事件的攻擊原因主要在于合約的init函數未進行限制，從而導致攻擊者有權利進行調用，如圖2所示：

△圖2

經分析，攻擊者利用了DODO合約中提供的閃電貸工具，首先向合約轉移了兩種空氣幣。緊接著，發起了一筆閃電貸交易。在交易結束之前，調用合約的init函數將幣種指向空氣幣，從而躲過了閃電貸的歸還校驗，如圖3所示。

△圖3

三、安全建議

成都鏈安安全團隊認為，本起事件并不復雜，但值得敲響警鐘，引起廣大項目方的注意。具體而言，首先是DODO的閃電貸函數是進行了重入校驗的，但由于init函數并沒有添加重入校驗，所以導致了類似重入攻擊的發生。

另外，結合成都鏈安審計團隊以往對項目方的安全審計經驗，由于目前代碼的復雜度越來越高，模塊化也隨之越來越多，有許多項目方雖然都使用了init函數進行管理，但需要提醒的是，init函數在solidity中也僅僅只是一個普通函數，在此呼吁廣大項目方與開發者引起重視。切記，不要誤以為取名為“init”，就只能進行一次調用。

同時，我們建議，在日常的安全防護中，項目方也需要做好事無巨細的安全加固工作；通過借助第三方安全公司的專業力量，采用“形式化驗證與人工審核”結合的復合式審計方法，方能實現對項目面面俱到的全方位護航。

Tags：VERSGETVERSEVERItemVersetogetherbnb倉庫薇拉Octaverse GamesRecovery Right Tokens

幣安下載