BTC/HKD-0.34%
ETH/HKD+1.05%
LTC/HKD+0.24%
DOT/HKD-0.28%
ADA/HKD-0.17%
SOL/HKD+0.19%
XRP/HKD+0.24%
DOGE/US+0.26%據消息，去中心化交易平臺DODO的wCRES/USDTV2資金池被黑客攻擊，轉走價值近98萬美元的wCRES和近114萬美元的USDT。DODO表示，團隊已下線相關資金池建池入口，該攻擊僅影響DODOV2眾籌池，除V2眾籌池之外，其他資金池均安全；團隊正在與安全公司合作調查，并努力挽回部分資金。更多后續消息請關注DODO官方社群公告。
慢霧安全團隊在第一時間跟進并分析，下面將細節分析給大家參考。
攻擊細節分析
通過查看本次攻擊交易，我們可以發現整個攻擊過程非常簡單。攻擊者先將FDO和FUSDT轉入wCRES/USDT資金池中，然后通過資金池合約的flashLoan函數借出wCRES和USDT代幣，并對資金池合約進行初始化操作。
SBF并未回應出席國會聽證會要求，或將收到國會傳票:12月9日消息，FTX前首席執行官Sam Bankman-Fried（SBF）并未回應參議院銀行委員會要求他作證并配合FTX調查的要求。SBF及其律師沒有在規定的最后期限前做出回應。
委員會領導人、俄亥俄州民主黨參議員Sherrod Brown和賓夕法尼亞州共和黨參議員Pat Toomey對此表示，“我們認為，SBF提供證詞，以表明他愿意向美國人民提供透明度和問責制，這是很重要的，我們將繼續努力讓他出現在國會”。此前，信件中表示，如果SBF不合作，將會收到國會傳票。此外，SBF發言人拒絕置評。據悉，銀行委員會定于下周三就這一問題舉行聽證會。
此前報道，12月7日，SBF推特發文稱，在他了解和回顧完所發生的一切后，他有義務在眾議院金融服務委員會面前解釋。但他不確定是否可以在12月13日前了解清楚所有事情。一旦可以，他愿意出席國會聽證會。[2022/12/9 21:33:01]
為何存入FDO和FUSDT代幣卻能成功借出wCRES和USDT，并且初始化資金池合約呢？是因為資金池的閃電貸功能有漏洞嗎？
Coin Center：美財政部制裁Tornado Cash或違反了正當程序及憲法權利:金色財經報道，加密貨幣倡導組織Coin Center發布博客文章稱，美國財政部外國資產控制辦公室(OFAC)制裁Tornado Cash可能在法律和憲法上存在缺陷，Coin Center表示，“我們認為OFAC通過將某些Tornado Cash智能合約地址添加到SDN列表中超越了其法律權限，這一行為可能違反了正當程序及憲法權利”。
Coin Center認為，智能合約不能成為可制裁的實體，這樣的標準對全世界的代碼人員來說都是危險的。文章稱，“這一行動發出了一個信號，實際上似乎是為了發出一個信號，美國人不應該使用某種工具和軟件，即使是完全合法的目的”。Coin Center承諾其第一步是與OFAC合作，但該組織也表示，“我們將開始與律師探討對這一行動的法庭挑戰。敬請期待。”[2022/8/16 12:27:43]
接下來我們對flashLoan函數進行詳細分析：
6月BNB Chain鏈上NFT銷售額近2000萬美元，創歷史最高記錄:金色財經報道，據 NFT 交易數據顯示，6 月 BNB Chain 鏈上 NFT 銷售額達到 19,396,292.52 美元，鏈上交易量為 116,127 筆，創下 BSC 鏈上單月交易額歷史最高記錄。本文撰寫時，BNB Chain 鏈上 NFT 銷售總額為 137,524,827 美元，交易總量為 302,971 筆。[2022/7/5 1:50:42]
通過分析具體代碼我們可以發現，在進行閃電貸時會先通過_transferBaseOut和_transferQuoteOut函數將資金轉出，然后通過DVMFlashLoanCall函數進行具體外部邏輯調用，最后再對合約的資金進行檢查。可以發現這是正常閃電貸功能，那么問題只能出在閃電貸時對外部邏輯的執行上。
通過分析閃電貸的外部邏輯調用，可以發現攻擊者調用了wCRES/USDT資金池合約的init函數，并傳入了FDO地址和FUSDT地址對資金池合約進行了初始化操作。
到這里我們就可以發現資金池合約居然可以被重新初始化。為了一探究竟，接下來我們對初始化函數進行具體的分析：
通過具體的代碼我們可以發現，資金池合約的初始化函數并沒有任何鑒權以及防止重復調用初始化的邏輯，這將導致任何人都可以對資金池合約的初始化函數進行調用并重新初始化合約。至此，我們可以得出本次攻擊的完整攻擊流程。
攻擊流程
1、攻擊者先創建FDO和FUSDT兩個代幣合約，然后向wCRES/USDT資金池存入FDO和FUSDT代幣。
2、接下來攻擊者調用wCRES/USDT資金池合約的flashLoan函數進行閃電貸，借出資金池中的wCRES與USDT代幣。
3、由于wCRES/USDT資金池合約的init函數沒有任何鑒權以及防止重復調用初始化的邏輯，攻擊者通過閃電貸的外部邏輯執行功能調用了wCRES/USDT資金池合約的初始化函數，將資金池合約的代幣對由wCRES/USDT替換為FDO/FUSDT。
4、由于資金池代幣對被替換為FDO/FUSDT且攻擊者在攻擊開始時就將?FDO和FUSDT代幣存入了資金池合約，因最終通過了閃電貸資金歸還的余額檢查而獲利。
總結
本次攻擊發生的主要原因在于資金池合約初始化函數沒有任何鑒權以及防止重復調用初始化的限制，導致攻擊者利用閃電貸將真幣借出，然后通過重新對合約初始化將資金池代幣對替換為攻擊者創建的假幣，從而繞過閃電貸資金歸還檢查將真幣收入囊中。
參考攻擊交易：
https://cn.etherscan.com/tx/0x395675b56370a9f5fe8b32badfa80043f5291443bd6c8273900476880fb5221e
親愛的Pool-X用戶,Pool-X平臺將聯合COTI項目方于2021年03月11日18:00:00(UTC8)上線COTI鎖倉挖礦活動.
1900/1/1 0:00:00今天我們借著實時行情,再來講一下61.8%黃金分割線和頂底轉換這兩個指標。首先來看比特幣,比特幣在昨日持續一路拉升,直到今日早間,直接突破昨日預設壓制78.6%回調線一線,但突破不多,且迅速承壓.
1900/1/1 0:00:00拜登政府很快將不得不解決一場比特幣之爭,它的決定可能會對虛擬貨幣行業產生深遠影響。這場戰爭甚至還沒有開始就遭到極力反對.
1900/1/1 0:00:00尊敬的用戶： 幣虎DeFi專區即將上線DEC/USDT交易對。敬請期待！幣種介紹：DDSmart是由日本技術團隊Smart社團歷時5年,研發信任社會基石操作系統,具備多層次、完全開放,透明化的區.
1900/1/1 0:00:00?尊敬的用戶： 幣虎永續合約“牛幣哄哄”第五期活動正式開啟,為回饋廣大用戶一直以來的支持,特送上5,000USDT福利等你來領！參與幣虎永續合約交易即有機會贏得獎勵.
1900/1/1 0:00:00Gate.io已于2021年3月10日14：00上線Chromia(CHR)交易。Chromia是為分散應用程序提供的一個嶄新的區塊鏈平臺,旨在解決現存平臺的缺陷,開創分散應用程序的新時代.
1900/1/1 0:00:00
以太坊交易所
