Build Finance攻擊事件分析_NAN:Syrup Finance

DAO組織BuildFinance在社交媒體發文表示，該項目遭遇惡意治理攻擊，攻擊者惡意鑄造了110萬枚BUILD并拋售套利。知道創宇區塊鏈安全實驗室第一時間對本次事件深入跟蹤并進行分析。

該合約線上提案投票地址?https://snapshot

functionvote(uint_proposalId,bool_support)publiclockVotes{require(state(_proposalId)==ProposalState

Polygon Labs與Station3NYC在紐約推出“Builder House NYC”:金色財經報道，Polygon Labs在其官推宣布與Station3NYC合作推出是專門為藝術家和建筑商提供的工作空間“Builder House NYC”，地址位于紐約市中心，旨在支持和培養建設者和藝術家的人才，并構建一個激發創造力、促進協作和支持創新理念發展的社區，繼而激發數字藝術領域內外的創新。。[2023/7/7 22:22:45]

else{proposal

幣安推出首個元宇宙真人秀節目“Build The Block”:5月8日消息，幣安全球創意工作室Binance Studio宣布將首次推出“Build The Block”。這是一個新的全球數字媒體內容系列，12個Web3初創公司將在該節目中競爭幣安的獨家資源曝光。Build The Block是首個以Crypto為主題的創業競演真人秀，同時也是幣安首次涉足元宇宙真人秀。該節目首集將于5月12日22:00(UTC+8)上線Binance Live與幣安官方YouTube賬號。[2023/5/9 14:50:34]

receipt

孫宇晨受邀參加第13屆金融科技峰會“Building Tomorrow’s Marketplaces”:據官方消息，波場TRON創始人兼BitTorrent CEO孫宇晨受邀參加投資銀行集團Rosenblatt Securities舉辦的第13屆金融科技峰會“Building Tomorrow’s Marketplaces”，并將于5月19日12:00 pm—1:00 pm EDT(北美東部夏令時間)進行“市場的未來發展”主題討論。據悉，本次大會將于2021年5月19日-5月20日EDT (北美東部夏令時間)舉行，共有包括孫宇晨、納斯達克 CEO 阿德娜·弗里德曼（Adena Friedman）等16位尖端金融科技思想領袖共同出席。Rosenblatt金融科技峰會已經連續舉辦了13年，匯聚了金融科技首席執行官，以描述他們如何幫助金融服務業轉型。[2021/5/10 21:44:07]

該函數方法允許任何擁有一定數量資產的用戶發起提案，持有該資產的其他用戶進行投票，函數代碼未發現安全問題，因此我們推測攻擊者可能是通過合約發起的提案。在提案通過后，攻擊者鑄造了100萬個BUILD代幣，耗盡大部分Balancer和Uniswap流動性池的資金：

隨后又通過治理合約控制平衡池，耗盡包括13萬METRIC代幣在內的其他數字資產：

最后喪心病狂的鑄造了一億個Build，出售給任何還存在流動性的池子：

目前還未確定攻擊者發起通過的提案內容，但根據通過提案后的鑄幣行為，跟進到代幣合約0x6e36556b3ee5aa28def2a8ec3dae30ec2b208739：

addresspublicgovernance;constructor()publicERC20Detailed("BUILDFinance","BUILD",18){governance=msg

functionmint(addressaccount,uintamount)public{require(msg

functionsetGovernance(address_governance)public{require(msg

合約在初始化的時候會設置合約擁有者為治理者，并且只有治理者可以發起鑄幣請求，而只有治理者才能調用setGovernance函數更換治理者，因此可以確定，攻擊者發起的具體提案為更換治理者。

在創建合約的時候，治理者為0x2Cb037BD6B7Fbd78f04756C99B7996F430c58172，也就是合約部署者，他在部署合約后將治理者更換為TimeLock合約0x38bce4b45f3d0d138927ab221560dac926999ba6：

而在2021年1月，TimeLock合約將治理權交給了0x5a5a6ebeb61a80b2a2a5e0b4d893d731358d888583：

最后在2022年2月，由Suho.eth發起提案，利用低投票閾值將治理者更換為0xdcc8a38a3a1f4ef4d0b4984dcbb31627d0952c28，惡意接管后鑄幣套現。

0x03：總結

經過完整分析，知道創宇區塊鏈安全實驗室?明確了該次事件的源頭由攻擊者創造低閾值提案，讓自己惡意接管了治理權限，去中心化的治理實現是很有必要的，但不應該讓攻擊者可以利用少量投票就通過提案。

Tags：BUILDANCNCENANDark.BuildANCHOR價格Syrup FinanceNANO價格

幣贏