CER:CertiK：600萬美元損失，去中心化音樂平臺Audius攻擊事件分析_audius幣上市了嗎

北京時間2022年7月23日，CertiK安全團隊監測到去中心化音樂平臺Audius遭到黑客攻擊，損失了價值600萬美元的AUDIO代幣。攻擊者通過調用initialize()函數重新初始化修改了Audius治理合約的配置，然后提出并執行了一個惡意提案，導致Audius合約將1850萬AUDIO代幣轉移給攻擊者。

大約價值600萬美元的AUDIO代幣被攻擊者交易為約700ETH。

攻擊步驟

①?攻擊者調用Audius治理合約中的initialize()函數來修改配置，如“投票期”、“執行延遲”、“監護人地址”。該函數受到“initializer”修改器的保護，不應該被多次調用。

XRACER NFT系列與 XP Network 達成合作:據官方消息，近日，XRACER游戲團隊宣布“XRACER NFT 系列與 XP Network 達成合作，擴展數字收藏品的可能性。XP Network是全球領先的 NFT 跨鏈橋，它可使不同區塊鏈和 NFT 市場之間實現無縫鏈接的互操作性。 XRACER NFT是一個獨特的數字藝術作品系列，它們能夠在XRACER Play-to-Earn（邊玩邊賺） 游戲中幫助玩家賺取 NOS 。[2023/4/11 13:56:09]

https://etherscan.io/tx/0x3bbb15f9852c389e8d77399fe88b49b042d0f22aad4a33c979fbabc60a34b24f

DeFi衍生品項目Tracer DAO將過渡至Mycelium，并將在Arbitrum上推出永續掉期產品:8月11日消息，去中心化衍生品項目Tracer DAO表示，從Tracer DAO過渡到Mycelium的關鍵提案已由DAO達成一致，本月將在Arbitrum上推出首個產品，即永續掉期產品Mycelium Perpetual Swaps。另外，所有現有的TCR持有者都有權以1:1的比例將其代幣更改為新的MYC代幣。

Tracer DAO表示，Mycelium Perpetual Swaps將與原油的Perpetual Pools（永續資金池）共存。自2019年以來，Mycelium一直通過Mycelium Node提供數據，并在區塊鏈上構建衍生品基礎設施。2021年2月10日，Tracer DAO接受了Mycelium要成為DAO的核心服務提供者和貢獻者的提議。[2022/8/11 12:19:04]

https://etherscan.io/tx/0xfefd829e246002a8fd061eede7501bccb6e244a9aacea0ebceaecef5d877a984

Larry Cermak：這波反彈是機構投資者發起并維持的，但不會碰任何山寨幣:TheBlock研究總監Larry Cermak發推稱，我對上寨幣在這輪下跌的所保持的抗跌性感到害怕，但有一點要記住，這波反彈是由買入比特幣的機構投資者發起并維持的，相信我，他們不會碰其他任何山寨幣，包括ETH。很多其他的買盤只是人們把他們BTC利潤拿去投入了其他幣種，而散戶蠢蠢欲動，在過去兩周內蜂擁而至。如果BTC的弱勢持續幾周，我不認為山寨幣能有多大的力度。[2021/1/22 16:46:13]

https://dashboard.tenderly.co/tx/mainnet/0xfefd829e246002a8fd061eede7501bccb6e244a9aacea0ebceaecef5d877a984/debugger?trace=0.0.0.1.0.0

②?攻擊者提交了惡意提案，該提案是要求Audius治理合約向攻擊者轉移1850萬AUDIO代幣。https://etherscan.io/tx/0xfefd829e246002a8fd061eede7501bccb6e244a9aacea0ebceaecef5d877a984.

③?攻擊者對惡意提案進行投票。https://etherscan.io/tx/0x3c09c6306b67737227edc24c663462d870e7c2bf39e9ab66877a980c900dd5d5

④?攻擊者執行了惡意提案，獲得了1850萬AUDIO代幣。https://etherscan.io/tx/0x4227bca8ed4b8915c7eec0e14ad3748a88c4371d4176e716e8007249b9980dc9

⑤?攻擊者售出1850萬AUDIO代幣，獲取了約700ETH。https://etherscan.io/tx/0x82fc23992c7433fffad0e28a1b8d11211dc4377de83e88088d79f24f4a3f28b3?

②?限制了可以調用initialize()函數的權限：

寫在最后

在CertiK編撰的《2022年第二季度Web3.0安全現狀報告》中，顯示了2022年第二季度Web3.0十大攻擊事件的罪魁禍首正是漏洞惡意利用，其攻擊事件相比其它小分類來說，數量較少，但往往具備更大的破壞性。

本次攻擊事件本可通過審計發現「代碼未遵循最佳實踐」這一風險因素。除了審計之外，CertiK安全團隊建議新增的代碼也需要在上線前及時進行相應測試。

Tags：CERACEAUDRACECERBERUS價格livingthegraceaudius幣上市了嗎DeRace

XMR