DAO:DAO還安全嗎？Build Finance遭遇惡意治理接管 被洗劫一空_ANC

今天2月15日，先祝大家元宵節快樂！團團圓圓每一天！

而在今天凌晨時分，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，風投DAO組織Build Finance項目遭遇治理攻擊。關于本次攻擊，成都鏈安技術團隊第一時間進行了分析。

據悉，Build Finance 是一個自我描述為“去中心化風險建設者”，其目標是通過獎勵代幣來激勵新項目。這個想法是用其原生 BUILD 代幣為項目提供資金，作為回報，這些項目將采用 BUILD 代幣來增加對它們的需求。此外，該項目由 DAO 維護，也就是由一個去中心化組織參與治理。

但是，黑客卻悄悄搞起事情，該項目遭遇攻擊者惡意治理接管，黑客通過獲得足夠多的投票成功控制 Build 代幣合約，在三筆交易中鑄造了超過10億的BUILD 代幣，并耗盡了 Balancer 和 Uniswap 流動性池中的大部分資金。事發后，該項目團隊在推特建議用戶不要在任何平臺上購買 BUILD 代幣，項目團隊成員試圖與攻擊者進行直接對話，但對方似乎沒有興趣對話。

Huobi與波場DAO承諾永久1:1剛性承兌所有FTX平臺內波場系代幣:據官方消息，Huobi和波場DAO聯合發布公告，Huobi和波場DAO決定永久1:1剛性承兌所有FTX平臺內波場系代幣（TRX、BTT、JST、SUN、HT），將會根據用戶填寫的表單為根據，與FTX平臺協調對賬關于TRX、BTT、JST、SUN、HT代幣的提現事宜。

公告表示，本決定是行業自救的一次嘗試，支持本次幣安對于FTX交易所的盡調、投資，未來的可能性收購。[2022/11/9 12:36:49]

看來項目方又遇到了一位“任性”的黑客。下面，跟著我們來看一下事件具體分析過程。

Round 1

通過對項目的交易追蹤，我們發現2022年2月12日Build Finance?項目被攻擊者竊取了治理權限，接著向0xdcc8A38A地址分三次鑄造了超過10億的BUILD代幣。

a16z在美CFTC訴Ooki DAO案中稱：監管應用程序而非協議是雙贏選擇:11月2日消息，a16z總法律顧問Miles Jennings在推特上表示：“a16z已在美國商品期貨交易委員會（CFTC）訴Ooki DAO案中提交了法庭之友簡報，并主要關注‘CFTC應該監管應用程序，而不是協議’這一觀點的原因，根據美國聯邦法案，為非法人團體提供有效服務要求CFTC聲稱團體的成員具有‘共同的合法目的’，而CFTC并沒有聲稱Ooki DAO有合法的目的，盡管他們確實有一個合法目的，即管理Ooki Protocol。最終，這種方法將使CFTC既能追究不良行為者的責任，又能保護Web3和它的良好行為者。換句話說，這是雙贏的。”[2022/11/2 12:09:28]

然后0xdcc8A38A地址將這10億代幣通過Uniswap V2: BUILD兌換將項目方的交易池掏空。

TreasureDAO NFT交易市場出現漏洞，項目團隊正在修復:3月3日消息，基于 Arbitrum 的 TreasureDAO NFT 交易市場被曝發現漏洞，目前項目團隊正在修復漏洞并承諾會對受影響的用戶提供解決方案。受此影響，TreasureDAO 生態 Token MAGIC 價格出現波動，24 小時跌幅 12.09%。[2022/3/3 13:34:22]

觀察交易細節后，我們發現調用Build 代幣合約mint函數鑄幣的地址也為0xdcc8A38A。

接著往下看，我們觀察下圖項目方的合約代碼發現調用mint函數的地址只能為governance地址。此時鑄幣的地址為0xdcc8A38A，也就是說合約現在的governance權限已經被0xdcc8A38A地址獲取了。

風險投資管理市場DAO Maker獲得LD Capital數百萬投資:據官方消息，成立三年的領先項目孵化器，融資平臺DAO Maker將首次發行社區通證。此次融資旨在擴張團隊，開發平臺新產品：風險投資債券（Venture Bonds）。該產品結合DAO Maker嚴格的風控，成功的融資經驗和龐大的社交網絡，將幫助平臺用戶以最低的風險參與到初創公司的早期融資。

DAO Maker是一家加密生態系統中領先的項目孵化器和服務提供商，創立于2017年，DAO Maker為孵化項目籌集超過3500萬美元的資本，平臺的投資人數高達35000 人。2020年11月，DAO Maker啟動了其首次基于社區的通證發行。[2020/11/28 22:24:56]

從代碼中可以看到原本的governance權限屬于合約的創建者即下圖的0x2Cb037BD6B7Fbd78f04756C99B7996F430c58172地址。

韓國DAO項目HubDAO：無節制的流動性挖礦導致了近期DeFi市場的下跌:9月23日，韓國DAO項目HubDAO中國社區負責人阿爾法李在參加哼哈互動舉辦的《尖叫列車第四期》訪談時認為，無節制的流動性挖礦導致了近期DeFi市場的下跌。巨量的代幣被挖出后流入二級市場，在價值共識不足的情況下，難以形成價值預期，最終形成“挖提賣”的惡性循環導致市場崩盤。

HubDAO 將嚴格控制挖礦產量與獨特的雙代幣體系來解決挖礦泛濫的問題，通過把挖礦代幣和治理代幣分開，用挖礦代幣HDT吸引早期關注者來參與，獲取早期的市場人氣及流量。但是實際上接下來在二級市場流通的是治理代幣HD。在HDT和HD之間，存在第二層Farm關系，同時還有一定的鎖倉時間。這使得HubDAO 既激勵了早期用戶產生熱度，也不會對二級市場形成直接的沖擊。

阿爾法李透露，HubDAO 將于9月23日20：00正式開啟創世挖礦，首期挖礦設立 USDT、 HT、GXC、GOF、BNB、wETH六個礦池，每個池子每周激勵為 41.67 萬枚 HDT。[2020/9/23]

我們不禁要問，那么governance權限是如何轉移到0xdcc8A38A上的呢？

Round 2

通過排查，我們通過2020年9月4日的一筆交易發現了線索，攻擊者只有通過setGovernance函數才能竊取governance的權限。那么在這期間合約創建者0x2Cb037BD一定使用了setGovernance函數進行了權限轉移。

通過查找0x2Cb037BD地址的交易記錄可見，在同一天創建者使用了setGovernance函數。交易hash為0xe3525247cea81ae98098817bc6bf6f6a16842b68544f1430926a363e790d33f2。

通過查找內部的Storage可見權限轉移給了0x38bce4b45f3d0d138927ab221560dac926999ba6地址而不是上述的0xdcc8A38A攻擊地址。交易哈希為：0xe3525247cea81ae98098817bc6bf6f6a16842b68544f1430926a363e790d33f2。

通過繼續跟進0x38bce4b地址，發現是一個Timelock合約，而合約中可以調用build 代幣合約函數的setGovernance函數只有executeTransaction函數。

我們跟進executeTransaction函數找到了其中的Storage。

從上圖可見0x38bce4b45f3d0d138927ab221560dac926999ba6地址將權限又轉移到了0x5a6ebeb6b61a80b2a2a5e0b4d893d731358d888583地址，交易哈希為0x9a0c9d5d3da1019edf234d79af072c1a6acc93d21daebae4ced97ce5e41b2573，調用時間為2021年1月25日。

通過繼續跟進0x5a6ebeb6地址，在下圖可知在2022年2月9日由suho.eth發起的提案，0xdcc8A38A攻擊地址在2022年2月11日投票通過。在4天前將governance權限變更為0xdcc8A38A。

suho.eth發起的提案變更governance，投票設置的閾值較低導致提案通過，通過call調用將build合約的governance更改為0xdcc8A38A地址。

0x5a6ebeb6b61a80b2a2a5e0b4d893d731358d888583地址部分代碼。

此地址獲取governance權限后，0xdcc8A38A地址通過build 代幣合約的mint函數向本身鑄造了大約10億的build代幣，隨后去交易池掏空流動性。

獲取權限的流程圖為：

攻擊者利用類似的手法，從另外一個治理合約中轉走了該治理合約所持有的代幣資產。本次獲利共162個ETH、20014個USDC 481405個DAI、75719個NCR約為112萬美元。

最后，成都鏈安提醒：DAO合約應該設置合適的投票閾值，實現真正的去中心化治理，避免很少的投票數量就使得提案通過并成功執行，建議可以參考openzeppelin官方提供的治理合約的實現。

Tags：DAONCEANCNANZeppelin DaoPlumCake FinanceMoonFarm FinanceUniCap.finance

歐易交易所app下載