CER:CertiK：PAID Network攻擊事件還原_PAID

2021年3月5日，PAIDNetwork遭受了由于私鑰管理不善而引起的"鑄幣"攻擊。攻擊者使用代理合約私鑰，將原先經過CertiK審計的PAID合約代碼掉包，添加了銷毀和鑄幣的功能函數。因為PAID代幣已達上限，攻擊者先銷毀了6000萬枚PAID代幣，然后再重新鑄造了59,471,745枚PAID，并通過Uniswap出售。CertiK團隊第一時間和PAID?Network團隊溝通調查，確認了原代碼并無漏洞，攻擊事件是由私鑰泄露導致的。目前CertiK團隊仍無法確認私鑰泄露的原因，但已經可以將整個攻擊過程還原。?PAID事件時間線

Balancer宣布新Boosted Aave礦池上線:金色財經報道，Balancer 剛剛發布了基于 Aave V3 市場的新 Boosted Pools。Aave V3 是對 Aave 協議最重要的升級，確保了數十億美元的無許可智能合約。團隊可以通過將 bb-a-USD 用作 Balancer 上的基礎對來構建新的創新礦池和金融 dApp。通過使用 Aave 增強池構建，集成商繼承了 Aave 協議中內置的高安全性標準。[2023/4/6 13:47:00]

2021年3月5日，PAID遭受了持續約30分鐘的攻擊。通過鏈上分析，CertiK團隊總結了攻擊的時間線及操作步驟如下：第一步：合約所有權被轉移給了攻擊者，此時攻擊者在得到私鑰后就已經完全獲得了代理合約的控制權。第二步：攻擊者利用代理更新合約，添加了銷毀和鑄幣的功能函數。第三步：攻擊者銷毀了6000萬枚PAID，留出鑄幣空間。第四步：攻擊者開始鑄幣，并向Uniswap傾銷PAID代幣以換取以太幣。最后，本次事件并沒有攻擊智能合約的代碼本身，而是通過某種渠道獲得了代理合約的私鑰。CertiK在審計報告中的PTN-10章節提出了:AmbiguousFunctionality以及其他章節強調了PAID合約中心化的問題。總結

Balancer警告有630萬美元的資金面臨風險，督促部分池的 LP 盡快提取流動性:金色財經報道，Balancer已警告其流動性提供商從五個資金池中撤出資金，其中有630萬美元面臨風險。部分 Balancer 池的協議費用已設置為 0，以避免即將公開披露的一個問題，該問題已得到緩解。該舉措是由緊急多重簽名完成的。這些池繼續正常運行，因此這些池的流動性提供者不需要采取任何行動，他們將繼續收取掉期費用，但協議不會進行扣除。

隨后，Balancer 又督促部分池的 LP 盡快提取流動性，因為緊急 DAO 無法緩解該相關問題。這五個池分別位于以太坊、Polygon、Optimism和Fantom。最大的資金池是DOLA / bb-a-USD，目前管理著360萬美元的資金。[2023/1/6 10:58:44]

2021年3月5日，攻擊者獲得PAID代理合約私鑰，替換原有代碼，添加了銷毀和鑄幣的功能函數。攻擊者之后銷毀了6000萬枚PAID代幣，留出鑄幣空間。最后，鑄造了59,471,745枚PAID，并通過Uniswap出售了2,401,203枚代幣。客觀來看，本次攻擊事件中攻擊者并沒有找到任何原合約的漏洞，而是直接獲得了代理合約私鑰。當合約的可升級性作為項目的預期功能而存在時，它在智能合約中確實有其存在的價值。而這種類型的功能要求合約所有者以及部署者在確保代碼基本安全的同時，同樣必須保證私鑰的安全。CertiK將會在未來更多地強調并關注中心化及私鑰保護等相關問題。

動態 | CertiK發布參考手冊 介紹其智能合約編程語言:區塊鏈安全公司CertiK發布了一份演示和語言參考手冊，介紹其以智能合約為重點的DeepSEA編程語言，該參考手冊旨在讓開發人員深入了解該語言的設計。（CoinTelegraph）[2020/2/27]

復制下方鏈接至瀏覽器，查看CertiK于2021年1月24日為PAIDNetwork出具的審計報告：https://certik.org/projects/paidnetwor

Tags：CERPAIAIDPAIDCERE價格MPAI幣Raider Tokenpaid幣怎么解決

Filecoin