2021 年 08 月 12 日，据慢雾区消息，加密孵化机构 DAO Maker 疑似遭受黑客攻击，导致合约大量 USDC 被转出。慢雾安全团队第一时间介入分析，并将分析结果分享如下。? ?
在本次攻击中，攻击者部署并开源了一个攻击合约 (0x1c) 用于快速批量的从 DAO Maker 受害合约 (0x41) 中窃取资金。
攻击者地址 1：
0xd8428836ed2a36bd67cd5b157b50813b30208f50
攻击者地址 2：
0xef9427bf15783fb8e6885f9b5f5da1fba66ef931
攻击合约：
0x1c93290202424902a5e708b95f4ba23a3f2f3cee
DAO Maker 受害合约：
0x41B856701BB8c24CEcE2Af10651BfAfEbb57cf49
DAO Maker 受害合约 deployer：0x054e71D5f096a0761dba7dBe5cEC5E2Bf898971c
彭博社高级ETF分析师：迹象表明比特币ETF将很快获得批准:金色财经报道，据彭博社高级ETF分析师Eric Balchunas称，有“良好的”迹象表明，比特币ETF将很快获得批准。他指出，方舟投资(Ark Invest)申请了一个带有指定代码的比特币期货ETF，Valkyrie使用代码更新了其ETF招股说明书。
Cathie Wood的方舟投资管理公司(Ark Investment Management LLC)申请了一个比特币期货ETF，代码为ARKA，而Valkyrie已经将其BTC期货招股说明书指定了BTF代码。公司通常会在一切就绪并“准备好推出”时更新提案，这意味着美国证券交易委员会(SEC)可能很快就会给Valkyrie开绿灯。
Balchunas还指出，10月13日，方舟投资与21Shares和Alpha Architect合作提交了比特币期货ETF申请，并指出指定的ARKA代码是美国SEC准备给予批准的“另一个良好迹象”。（cointelegraph）[2021/10/14 20:28:34]
DAO Maker 受害合约 admin：0x0eba461d9829c4e464a68d4857350476cfb6f559
LTC突破90美元关口 日内涨幅为4.71%:火币全球站数据显示，LTC短线上涨，突破90美元关口，现报90.02美元，日内涨幅达到4.71%，行情波动较大，请做好风险控制。[2020/11/24 21:52:32]
本次攻击与往常攻击不同的是：DAO Maker 受害合约 (0x41) 未开源，而攻击合约 (0x1c) 却开源了。
从上图开源的攻击合约以及链上记录我们可以看出：?
1. 黑客调用攻击合约 (0x1c) 的 h 函数，h 函数会循环调用 f 函数，f 函数通过 DAO Maker 受害合约的 0x4b4f892a 函数获取普通用户在受害合约 (0x41) 中的 USDC 存款数量。
2. 函数 h 接着调用 DAO Maker 受害合约 (0x41) 的withdrawFromUser(0x50b158e4) 函数，传入用户存款的用户地址、USDC 地址与需要提款的数量。
3. 随后 DAO Maker 受害合约 (0x41) 将合约中的 USDC 转移至攻击合约中 (0x1c)。
通过以上行为分析我们可以发现：攻击合约 (0x1c) 调用了受害合约 (0x41) 的? withdrawFromUser 函数，受害合约 (0x41) 就将合约管理的资金直接转给攻击合约 (0x1c) 。我们直接反编译受害合约 (0x41) 查看 withdrawFromUser 函数进行简单分析：
通过反编译的代码我们可以发现，此函数是有进行权限检查的，只有 DAO contracts 才能调用此函数转移用户的资金。但攻击合约? (0x1c) 明显不是 DAO 合约，因此其 DAO 合约必然是被攻击者替换过的。
通过链上分析我们可以清楚的看到：
1. 受害合约部署者 (0x05) 在部署受害合约 (0x41)? 后于 UTC 4 月 12 日 08:33:45 将 0x0eba461d9829c4e464a68d4857350476cfb6f559?地址设置为了管理员角色：
Tx Hash:
0xa1b4fceb671bb70ce154a69c2f4bd6928c11d98cbcfbbff6e5cdab9961bf0e6d
2. 随后受害合约部署者 (0x05) 通过调用 revokeRole 函数放弃了受害合约 (0x41) 管理权限：
Tx Hash:?
0x773613398f08ddce2cc9dcb6501adf4f5f159b4de4e9e2774a559bb1c588c1b8
3. 而管理员则在 UTC ?8 月 12 日 01:27:39 将 DAO 合约设置为了攻击合约 (0x1c) ：
0x2fba930502d27f9c9a2f2b9337a0149534dda7527029645752b2a6507ca6b0d6
因此攻击者才得以借助此攻击合约 (0x1c) 将受害合约 (0x41) 中用户的资金盗走。目前被盗资金被兑换成 ETH 转移至攻击者地址 2 (0xef)。
本次攻击可能源于 DAO Maker 受害合约的管理员私钥泄漏。攻击者窃取私钥后将受害合约的 DAO 合约替换为了攻击合约，攻击者通过替换后的合约转走了合约中的用户资金。而由于合约部署者在设置完合约管理员后就放弃的合约管理权限，因此目前项目方可能还无法有效的取回合约控制权。
以太坊社区偶然发现了一个解决互联网长期存在的问题的方法：单点登录。 Web2服务要求用户为每个新服务创建一个新的用户名和密码组合,但web3颠覆了这个脚本：用户可以拥有他们的用户名、配置文件数据和安全身份验证方法,并在多个服务中使用同一个帐户。 我称之为使用以太坊登录。 互联网没有内置用户身份验证和识别模型。
8月13日消息,美国证券交易委员会（SEC）主席Gary Gensler指出,确实需要监管加密货币交易并保护投资者和金融体系,也需要将这些交易、产品或平台纳入监管。 中币（ZB）研究院认为,美国SEC可能担心的是在中心化或DeFi平台进行加密货币交易时,交易标的可能为未注册代币,而目前的未注册代币仅涉及证券相关法规,还涉及商品法和银行法。
时间回到六年前,有多少人会觉得以太坊很性感？很多人最近在以太坊上的投资翻了一番。目前来看,以太坊可能是过去20年来最好的投资。以下就是原因。 以太坊进行了大规模升级。基本上,以太坊的所有自由流通量中只有13%可用。其他所有东西都被抵押、锁定和囤积。它们让供应变得更加困难。供应量较低,自由浮动的以太坊每天都在下跌,于是大多数人将开始抵押他们持有的以太坊。
作为一种信用范式,区块链技术近年常被用于各类产品溯源。一般认为,产品的区块链溯源技术有两项优势：一是能够避免商家提供商品的虚假信息消费者,二是能够为产品供应链各节点增信。但是,区块链溯源技术的可信不代表其现实映照能够达到诉讼证据标准,本文旨在讨论区块链溯源技术用于法律救济的效力与不足,以供各位读者参考。
对新兴事物,关注的人总是一方面充满了期待和兴奋,另一方面也充满了焦虑和疑惑。对投资NFT领域,关注的投资者就有这样的情绪。 最近国内越来越多的人也开始关注NFT代币了。在众多NFT代币中,目前最火的就是各类化身（Avartar）项目了。在《区块链：元宇宙的灵魂》一书中,我把这类项目称为“俱乐部”类项目。
我们从跑路的 StableMagnet 项目方手里把钱夺了回来。 上周对 DeFi 世界来说是不太平的一周,Poly Network、去中心化年金协议 Punk Protocol、BSC 上借贷协议 Neko、NEAR 生态的去中心化交易所 Ref.Finance 等等项目先后遭到黑客攻击,损失的金额从数百万到数亿不等。
链资讯