Titano Finance攻擊事件分析_PLE:Titi Financial

前言

北京時間2022年2月14日晚，TitanoFinance遭到攻擊，損失3200萬TITANO代幣。知道創宇區塊鏈安全實驗室?第一時間跟蹤本次事件并分析。

分析

基礎分析

攻擊者地址：0xad9217e427ed9df8a89e582601a8614fd4f74563

NFL球隊Tennessee Titans宣布支持比特幣進行大宗交易及經常性支付:4月7日消息，NFL球隊Tennessee Titans宣布支持比特幣進行大宗交易及經常性支付，包括贊助費或季票等。Titans表示，團隊希望向次票、商品以及零食和飲料銷售開放比特幣支付。Bitcoin Magazine和數字資產資金UTXO Management向Titans提供比特幣支付功能并提供建議。（Bitcoin Magazine）[2022/4/7 14:09:39]

攻擊者創建合約MultipleWinnersProxyFactory：0x940151f5bbbcda5b1b482592d816e96f80d6073a

AssangeDAO ETH募集量已超過ConstitutionDAO，成為JuiceBox迄今融資規模最大的DAO:2月8日消息，根據DAO籌款網站Juicebox數據顯示，自2月3日開始籌款以來，AssangeDAO已經籌集了超過15,093枚ETH，約合4660萬美元，這意味著其募款金額已經超過了此前的ConstitutionDAO，并成為JuiceBox迄今融資規模最大的DAO。

ConstitutionDAO在2021年秋季成立，旨在拍賣贏得美國憲法副本，但最終未能如愿獲得，之后在2021年11月15日宣布放棄DAO所有權。AssangeDAO以維基解密創始人阿桑奇命名，該組織宣稱將幫助阿桑奇支付法律費用，并開展活動，提高公眾對司法系統系統性故障的認識。[2022/2/8 9:38:26]

攻擊者創建合約MultipleWinnersBuilder：0x1866207c355d4c6e0b03b4dc0bf9c658f4d13f8a

ConstitutionDAO (PEOPLE)突破0.15美元，24小時交易量超2億美元:11月27日，據Uniswap數據顯示，ConstitutionDAO原生Token PEOPLE突破0.15美元，現報價0.15美元，24 小時漲幅367%。

據各平臺數據顯示，Uniswap上ConstitutionDAO (PEOPLE)24 小時交易量為9808萬美元，歐易 OKEx 上 24 小時交易量為1.38億美元。[2021/11/27 12:35:30]

攻擊者創建合約MultipleWinners：0x49d078d25b08f2731cbf5af8e8cdf1ea3e0a2046

官方合約StakePrizePool：0x4d7f0a96967dce1e36dd2fbb131625bbd9106442

漏洞分析

此次事件，漏洞關鍵在于官方StakePrizePool合約中的setPrizeStrategy方法被攻擊者所利用，但該方法只有管理員才有權限進行操作。

隨后攻擊者將合約中的_prizeStrategy地址設置為攻擊者創造的合約MultipleWinners的地址

獲得權限后，攻擊者使用MultipleWinners合約中的_awardTickets方法鑄造了3200萬TicketTitano代幣到攻擊者地址

攻擊者獲取代幣后，將代幣進行轉換，最終通過PancakeSwap將其轉換為BNB，隨后分散資金到各個地址

總結

本次攻擊事件核心原因在于官方StakePrizePool合約中的僅管理員調用方法被惡意利用，成因或許是項目方管理地址泄露，也可能是掌握管理員私鑰的人監守自盜。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：DAOTITPLEITAmahadao幣最新消息Titi Financialpeople幣最新消息blockchaincapital

USDT