BTC/HKD-0.01%
ETH/HKD-0.37%
LTC/HKD-0.45%
DOT/HKD-0.17%
ADA/HKD+0.28%
SOL/HKD-0.18%
XRP/HKD-0.36%
DOGE/US+0.24%據消息，去中心化交易平臺DODO的wCRES/USDTV2資金池被黑客攻擊，轉走價值近98萬美元的wCRES和近114萬美元的USDT。DODO表示，團隊已下線相關資金池建池入口，該攻擊僅影響DODOV2眾籌池，除V2眾籌池之外，其他資金池均安全；團隊正在與安全公司合作調查，并努力挽回部分資金。更多后續消息請關注DODO官方社群公告。
慢霧安全團隊在第一時間跟進并分析，下面將細節分析給大家參考。
攻擊細節分析
通過查看本次攻擊交易，我們可以發現整個攻擊過程非常簡單。攻擊者先將FDO和FUSDT轉入wCRES/USDT資金池中，然后通過資金池合約的flashLoan函數借出wCRES和USDT代幣，并對資金池合約進行初始化操作。
Blockworks Research：反對Arbitrum改進提案AIP-1:4月2日消息，Blockworks Research在社交媒體公開反對Arbitrum改進提案AIP-1，同時表示致力于改進DAO治理和透明度，而AIP-1意味著當前社區治理狀態的倒退。Blockworks Research稱其核心關注點是價值超過10億美元的7.5億枚ARB代幣，這些代幣似乎由Campbell Law、Edward Noyons和Ani Banerjee三位初始董事運營的Arbitrum基金會控制。[2023/4/3 13:41:05]
為何存入FDO和FUSDT代幣卻能成功借出wCRES和USDT，并且初始化資金池合約呢？是因為資金池的閃電貸功能有漏洞嗎？
蔡文勝相關地址昨日以來已將3800枚ETH轉入幣安:金色財經報道，據推特用戶余燼監測，美圖董事長蔡文勝朋友地址在20分鐘前和昨天下午一共將3800枚ETH（約627萬美元）轉入幣安，該地址于4天前買入ETH的價格為1431美元。[2023/3/14 13:02:47]
接下來我們對flashLoan函數進行詳細分析：
通過分析具體代碼我們可以發現，在進行閃電貸時會先通過_transferBaseOut和_transferQuoteOut函數將資金轉出，然后通過DVMFlashLoanCall函數進行具體外部邏輯調用，最后再對合約的資金進行檢查。可以發現這是正常閃電貸功能，那么問題只能出在閃電貸時對外部邏輯的執行上。
數據：BAYC、Azuki等藍籌NFT24小時交易額均超大幅度上漲:12月11日消息，據Dune Analytics數據顯示，因NFT市場Blur將發布第三輪空投，BAYC、Azuki等藍籌NFT24小時交易額均超大幅度上漲。
其中：BAYC系列NFT24小時交易額達3365.56ETH；
MAYC系列NFT24小時交易額達3287.25ETH；
Azuki系列NFT24小時交易額達4670.3ETH；
CloneX系列NFT24小時交易額達3459.68ETH。
此前報道，12月6日，NFT市場Blur第二輪空投宣布開放申領。[2022/12/11 21:36:58]
通過分析閃電貸的外部邏輯調用，可以發現攻擊者調用了wCRES/USDT資金池合約的init函數，并傳入了FDO地址和FUSDT地址對資金池合約進行了初始化操作。
到這里我們就可以發現資金池合約居然可以被重新初始化。為了一探究竟，接下來我們對初始化函數進行具體的分析：
通過具體的代碼我們可以發現，資金池合約的初始化函數并沒有任何鑒權以及防止重復調用初始化的邏輯，這將導致任何人都可以對資金池合約的初始化函數進行調用并重新初始化合約。至此，我們可以得出本次攻擊的完整攻擊流程。
攻擊流程
1、攻擊者先創建FDO和FUSDT兩個代幣合約，然后向wCRES/USDT資金池存入FDO和FUSDT代幣。
2、接下來攻擊者調用wCRES/USDT資金池合約的flashLoan函數進行閃電貸，借出資金池中的wCRES與USDT代幣。
3、由于wCRES/USDT資金池合約的init函數沒有任何鑒權以及防止重復調用初始化的邏輯，攻擊者通過閃電貸的外部邏輯執行功能調用了wCRES/USDT資金池合約的初始化函數，將資金池合約的代幣對由wCRES/USDT替換為FDO/FUSDT。
4、由于資金池代幣對被替換為FDO/FUSDT且攻擊者在攻擊開始時就將?FDO和FUSDT代幣存入了資金池合約，因最終通過了閃電貸資金歸還的余額檢查而獲利。
總結
本次攻擊發生的主要原因在于資金池合約初始化函數沒有任何鑒權以及防止重復調用初始化的限制，導致攻擊者利用閃電貸將真幣借出，然后通過重新對合約初始化將資金池代幣對替換為攻擊者創建的假幣，從而繞過閃電貸資金歸還檢查將真幣收入囊中。
參考攻擊交易：
https://cn.etherscan.com/tx/0x395675b56370a9f5fe8b32badfa80043f5291443bd6c8273900476880fb5221e
據消息,去中心化交易平臺DODO的wCRES/USDTV2資金池被黑客攻擊,轉走價值近98萬美元的wCRES和近114萬美元的USDT.
1900/1/1 0:00:00據格隆匯消息,中能國際控股(01096.HK)發布公告,為進一步加強公司與澳洲國投資本有關區塊鏈產業的策略合作,公司與澳洲國投資本訂立另一份策略合作諒解備忘錄.
1900/1/1 0:00:00親愛的用戶： 為回饋用戶長期的關注與支持,HomiEx將于3月10日15:00正式上線“USDT7日定期”Staking產品。本期限量開放200,000USDT的認購額度,可享50%年化收益率.
1900/1/1 0:00:00開年以來,很多投資者體會到什么是過山車行情：交易前兩日,大盤還能小幅上漲,之后抱團股便快速瓦解,指數開啟快速下跌模式,讓一些投資新人驚慌不已.
1900/1/1 0:00:00尊敬的用戶： WBF即將在開放區上線HTDD/USDT交易對,具體上線時間請關注官方公告。 項目介紹： 恒通幣,這是一款?100%對標"wechat”的區塊鏈加密通訊工具,除了零成本的學?習使用.
1900/1/1 0:00:00親愛的BKEXer： BKEXGlobalETP專區將于2021年3月10日14:00上線MATIC3L、MATIC3S.
1900/1/1 0:00:00
比特幣價格
