ANC:DAO还安全吗？Build Finance遭遇恶意治理接管，被洗劫一空！_YfDFI Finance

今天2月15日，先祝大家元宵节快乐！团团圆圆每一天！

而在今天凌晨时分，成都链安链必应-区块链安全态势感知平台舆情监测显示，风投DAO组织BuildFinance项目遭遇治理攻击。关于本次攻击，成都链安技术团队第一时间进行了分析。

#1?事件概览

据悉，BuildFinance是一个自我描述为“去中心化风险建设者”，其目标是通过奖励代币来激励新项目。这个想法是用其原生BUILD代币为项目提供资金，作为回报，这些项目将采用BUILD代币来增加对它们的需求。此外，该项目由DAO维护，也就是由一个去中心化组织参与治理。

但是，黑客却悄悄搞起事情，该项目遭遇攻击者恶意治理接管，黑客通过获得足够多的投票成功控制Build代币合约，在三笔交易中铸造了超过10亿的BUILD代币，并耗尽了Balancer和Uniswap流动性池中的大部分资金。事发后，该项目团队在推特建议用户不要在任何平台上购买BUILD代币，项目团队成员试图与攻击者进行直接对话，但对方似乎没有兴趣对话。

央行研究局局长：强化平台企业金融监管，加强对大型互联网平台的穿透性监管:11月27日，中国人民银行研究局局长王信在财经年会2022上表示，要加强和完善平台企业金融监管，加强对大型互联网平台业务的穿透性监管，维护广大金融消费者权益。王信称，要适应数字经济发展需要，努力遵循市场化、法治化原则，全面清理整顿互联网违法违规金融活动；强化平台企业金融活动监管，明确要求其金融活动全部纳入金融监管，所有金融业务必须持牌经营，消除监管套利。加强对大型互联网平台业务的穿透性监管，增强业务信息披露全面性和透明度，维护广大金融消费者权益。（贝壳财经）[2021/11/27 12:36:09]

看来项目方又遇到了一位“任性”的黑客。下面，跟着我们来看一下事件具体分析过程。

#2?事件具体分析

Round1

通过对项目的交易追踪，我们发现2022年2月12日BuildFinance?项目被攻击者窃取了治理权限，接着向0xdcc8A38A地址分三次铸造了超过10亿的BUILD代币。

澳洲法律公司CEO起诉互联网巨头“卡特尔”式加密禁令:澳大利亚法律公司JPB Liberty的首席执行官Andrew Hamilton正在发起一场集体诉讼，指控社交媒体和搜索巨头谷歌、Facebook、Twitter和YouTube的卡特尔式行为，意在扼杀新兴的加密货币行业。这起诉讼已经累积了超过6亿美元的索赔，指控这些公司充当“卡特尔”，在2018年，社交平台颁布了全面禁令，禁止推广加密资产和首次发行硬币。经过两年半的准备，Hamilton已经准备好在48小时内提起诉讼，并强调索赔人的注册将于8月21日结束。（Cointelegraph）[2020/8/12]

然后0xdcc8A38A地址将这10亿代币通过UniswapV2:BUILD兑换将项目方的交易池掏空。

声音 | 杭州互联网法院：2018年由比特币挖矿机等引发的案件增长明显:据中国新闻网报道，3月19日，杭州互联网法院发布《电子商务案件审判白皮书（2018年度）》。白皮书对过去一年审理的电子商务案件特点进行了盘点，并指出，在涉案标的物和标的额方面，呈现案件标的额上升明显、标的物更多元化的特点。通过网络购买服务引发的纠纷案件增长明显，出现了网购汽车、无人机、比特币挖矿机等产品引发的案件。[2019/3/20]

观察交易细节后，我们发现调用Build代币合约mint函数铸币的地址也为0xdcc8A38A。

接着往下看，我们观察下图项目方的合约代码发现调用mint函数的地址只能为governance地址。此时铸币的地址为0xdcc8A38A，也就是说合约现在的governance权限已经被0xdcc8A38A地址获取了。

声音 | 京东集团副总裁：区块链可以构建新一代可信的企业互联网:据比特网报道，京东集团副总裁、京东数字科技智能大数据部总经理裴健在CES上演讲表示，区块链是京东数字科技智能大数据业务的重要基础技术和创新方向，可以服务于客户更好地实践数字化转型，构建新一代可信的企业互联网，将继续在区块链领域进行技术创新。[2019/1/16]

从代码中可以看到原本的governance权限属于合约的创建者即下图的0x2Cb037BD6B7Fbd78f04756C99B7996F430c58172地址。

我们不禁要问，那么governance权限是如何转移到0xdcc8A38A上的呢？

招商证券：各大互联网公司在区块链技术上的频频布局 给区块链概念带来利好:招商证券认为，虽然2017年比特币迎来了火爆行情，但当时并未给区块链概念本身带来太多的关注度。而近期各大互联网公司在区块链技术上的频频布局对于区块链在我国的市场培育和推广将起到积极作用。通过各大互联网公司的传导，区块链的受众面将逐渐从小众的极客玩家们向普罗大众推广。但从目前看，各大互联网公司试水的区块链应用依旧以发行“代币”或实现“积分管理”的类型为主，功能相对单一，依旧处于初级阶段。而区块链真正的潜在应用空间（金融、政务、医疗等）还很巨大，尚需时日慢慢挖掘，短期内看尚不具备大规模落地条件。

招商证券建议从具备“技术开发能力”与“应用及场景”这两个维度筛选标的，推荐：1）“技术和场景”受益标的：恒生电子、金证股份、新大陆、赢时胜；2）加解密相关标的：飞天诚信、卫士通。[2018/1/10]

Round2

通过排查，我们通过2020年9月4日的一笔交易发现了线索，攻击者只有通过setGovernance函数才能窃取governance的权限。那么在这期间合约创建者0x2Cb037BD一定使用了setGovernance函数进行了权限转移。

通过查找0x2Cb037BD地址的交易记录可见，在同一天创建者使用了setGovernance函数。交易hash为0xe3525247cea81ae98098817bc6bf6f6a16842b68544f1430926a363e790d33f2。

通过查找内部的Storage可见权限转移给了0x38bce4b45f3d0d138927ab221560dac926999ba6地址而不是上述的0xdcc8A38A攻击地址。交易哈希为：0xe3525247cea81ae98098817bc6bf6f6a16842b68544f1430926a363e790d33f2。

通过继续跟进0x38bce4b地址，发现是一个Timelock合约，而合约中可以调用build代币合约函数的setGovernance函数只有executeTransaction函数。

我们跟进executeTransaction函数找到了其中的Storage。

从上图可见0x38bce4b45f3d0d138927ab221560dac926999ba6地址将权限又转移到了0x5a6ebeb6b61a80b2a2a5e0b4d893d731358d888583地址，交易哈希为0x9a0c9d5d3da1019edf234d79af072c1a6acc93d21daebae4ced97ce5e41b2573，调用时间为2021年1月25日。

通过继续跟进0x5a6ebeb6地址，在下图可知在2022年2月9日由suho.eth发起的提案，0xdcc8A38A攻击地址在2022年2月11日投票通过。在4天前将governance权限变更为0xdcc8A38A。

suho.eth发起的提案变更governance，投票设置的阈值较低导致提案通过，通过call调用将build合约的governance更改为0xdcc8A38A地址。

0x5a6ebeb6b61a80b2a2a5e0b4d893d731358d888583地址部分代码。

此地址获取governance权限后，0xdcc8A38A地址通过build代币合约的mint函数向本身铸造了大约10亿的build代币，随后去交易池掏空流动性。

获取权限的流程图为：

攻击者利用类似的手法，从另外一个治理合约中转走了该治理合约所持有的代币资产。本次获利共162个ETH、20014个USDC481405个DAI、75719个NCR约为112万美元。

最后，成都链安提醒：DAO合约应该设置合适的投票阈值，实现真正的去中心化治理，避免很少的投票数量就使得提案通过并成功执行，建议可以参考openzeppelin官方提供的治理合约的实现。

标签：ANCNCENANBUILDANC币能恢复么YfDFI FinanceMoonFarm FinanceBuildUP

火必APP热门资讯