黑暗森林之俠客行_DAO:Small Fish Cookie

有一篇廣為流傳的文章《以太坊：黑暗森林》。這篇文章里，介紹了一種“泛用型交易機器人”。這種機器人會監聽已經被廣播，但還沒有上鏈的交易。一旦發現原交易是有利可圖的，就以更高的gas發送相同的交易，搶在原交易之前成交。

以太坊世界就像就像一片黑暗森林，遍布著這種機器人，你的一舉一動都被暗中觀察著。這聽起來是一個冰冷且無情的故事，但我們接下來要講的事情，充滿了溫暖和俠義。

?我們犯了個錯誤?

北京時間3月9日早上8點。

我接到了社區經理的電話，說我們的合約在凌晨5點被攻擊了。我立刻給技術團隊打電話查看具體情況。

隨后我們發現，資金池的初始化函數存在漏洞，可以被重復調用。攻擊者利用閃電貸將真幣借出，隨即通過重新對合約初始化將資金池代幣對替換為攻擊者創建的假幣，從而繞過閃電貸資金歸還檢查。

Gemini聯創：美SEC主席等人的反加密戰爭將使民主黨在2024年大選中落敗:6月12日消息，加密交易所Gemini聯合創始人Cameron Winklevoss發推文稱：“美國馬薩諸塞州參議員Elizabeth Warren和美國證券交易委員會（SEC）主席Gary Gensler反對加密貨幣的戰爭將疏遠整整一代潛在的民主黨人。通過‘爭取選票’贏得年輕人的選票是民主黨劇本的關鍵部分，因為民主黨人相信青年投票將取得勝利。加密貨幣已經贏得了千禧一代和Z世代的芳心。他們不爭論加密的優點。他們爭論下一步在哪里建造什么。數百萬人將畢生積蓄投入到加密貨幣中。他們不會忘記Warren和Gensler造成的價值破壞。民主黨可能不關心加密，但他們會關心失去的選票。”

Gemini另一位聯合創始人Tyler Winklevoss在推特上表示：“Warren和Gensler對加密行業發起的戰爭將使民主黨在2024年大選中落敗。”[2023/6/12 21:30:52]

這不是負責審計的Peckshield的問題，而是我們在上線前，為了簡化代碼邏輯，進行了幾處修改，漏掉了一處權限控制。我們犯了個巨大的錯誤。

Web3人工智能平臺Alive完成1200萬美元機構融資:金色財經報道，作為NVIDIA Inception Program早期成員的Web3人工智能平臺Alive已完成1200萬美元機構融資，投資方信息暫未披露。該公司此前于3月16日完成了500萬美元的種子輪融資，當時領投方為Myer Capita，參投方包括Space Capital、Main Sequence Ventures、Viola Ventures、SquarePeg、Pitango等。Alive還宣布推出人工智能節點計劃“AI Node”，旨在通過Web3使人工智能更加民主化，節點持有者將有機會參與Alive的治理和決策過程，共同推動AI技術和應用的創新，據悉該計劃將由30,000個Alive節點組成，預計將在6月下旬正式啟動。（digitaljournal）[2023/6/8 21:22:36]

好在這一問題只影響了我們V2資金池的部分業務，交易模塊不受影響。而且只有項目方受影響，普通用戶沒有損失。

我們立刻開始補救。技術團隊在15分鐘內把所有還存在漏洞的資金都救了回來。隨后產品上封閉建池入口，運營端發公告，通知用戶和項目方事情的進展。

香港Web3協會成立后多個“香港概念加密項目”上漲:金色財經報道，香港Web3協會成立今日后多個“香港概念加密項目”出現上漲，據Coingecko數據顯示，Conflux（CFX）當前漲幅達到15%、COCOS BCX（COCOS）上漲9.2%、SelfKey（KEY）上漲3.0%、Alchemy Pay（ACH）上漲3.2%、Filecoin（FIL）上漲4.6%。[2023/4/12 13:57:40]

與此同時，我們統計了損失，大概380w美元價值的USDT、ETH和項目代幣。之后我們立即開始追查。

來自samczsun的好消息?

北京時間3月9日早上8點半。

事發后半小時內，我收到了來自白帽samczsun的一條的私信，說有一位不愿透露姓名的神秘人士，我們暫且稱之為獵豹先生，“意外地獲得”了其中一筆價值189w美金的被盜資金，并委托samczsun告知愿意全額歸還給我們。

獵豹先生到底是誰，到底如何獲得部分被盜資金，是否知曉剩余被盜資金的去向或線索？

數據：1,639枚BTC從FTX轉移到未知錢包:金色財經報道，Whale Alert監測數據顯示，1,639枚BTC （ 32,710,672美元）從FTX轉移到未知錢包。[2022/10/6 18:40:35]

?撲朔迷離的事件過程?

我們對攻擊事件進行分析后發現，共有兩個地址執行了攻擊，我們分別稱之為河馬先生(0x368)和羚羊先生(0x355)。

河馬先生執行了兩次攻擊。其中20w美金進入了中心化交易所，我們立刻聯系交易所凍結了。而另一筆189w美金，正好與獵豹先生要還給我們的金額一致。所以我們推測，河馬先生應該就是獵豹先生，他很可能是一個白帽黑客。

而羚羊先生，看起來也不是一個壞人，他的攻擊是通過”泛用型交易機器人“實現，花費了高達90,000gWei的gasPrice發送該交易，單筆交易的礦工費高達8ETH。從鏈上線索來看，很有可能是羚羊先生的機器人自動搶跑了攻擊者河馬先生的交易，而羚羊先生可能還不知情！

CFTC起訴Ooki利用DAO逃避監管，并處以25萬美元罰款:金色財經報道，美國商品期貨交易委員會（CFTC）在美國加利福尼亞州北區地方法院對Ooki DAO提起訴訟，并對Ooki DAO處以25萬美元罰款。目前CFTC與bZeroX,LLC及其創始人Kyle Kistner和Tom Bean達成和解。

在其投訴中，CFTC指控Ooki DAO利用其結構逃避監管，并將Ooki DAO認定為“由Ooki代幣持有人組成的非法人協會，并從未以任何身份在委員會注冊過。bZeroX將bZx協議（現為Ooki協議）的控制權轉移給Ooki DAO，試圖通過其去中心化的性質使bZx DAO具有強制執行能力。”

據悉，Ooki由DeFi借貸協議bZx更名而來，bZx協議在2020年遭遇黑客攻擊導致數十萬美元的加密損失。Ooki社區通過質押OOKI代幣和在Ooki DAO中投票來治理協議。（The Block）[2022/9/23 7:15:34]

這對于我們來說又是一個好消息，如果能聯系到羚羊先生，那么這筆錢也有可能被追回。

?謎團越來越大?

北京時間3月9日晚上21點。

在等待了一天后，我們收到了獵豹先生的退款，同時收到了一條消息：獵豹先生不承認自己是河馬先生。

這下謎團變得更大了，在這次攻擊中至少存在三方勢力！而且，我們不知道獵豹先生如何獲得了河馬先生的資產。當時，我們唯一有機會能建立聯系的是這位熟悉黑暗森林法則的獵豹先生。

雖然獵豹先生希望保持匿名，但我們還是通過samczsun和一些朋友，傳達了我們希望與獵豹先生建立直接聯系的意圖。在等待了數個小時后，我在telegram收到了一條私信。

小小的世界?

北京時間3月10日凌晨1點半

我萬萬沒想到，獵豹先生是我認識的老熟人。我在2018年就認識他，那時我還在DDEX做開發工作。我們會一起討論合約開發方面的問題。自我離開DDEX之后就失去了聯系，而他也沒有想到我成為了DODO的創始合伙人。

獵豹先生告訴我，河馬先生是攻擊者。他把攻擊得來的錢轉到了一個合約里，而這個合約寫出了漏洞，任何人都可以提幣。河馬先生在提幣時被獵豹先生的機器人搶跑了，從而“意外獲得了”這筆資金。

那么剩余的被盜資金呢？正在我們商量如何能聯系到羚羊先生時，他主動聯系了我。

事情的全部?

北京時間3月10日凌晨3點

羚羊先生以匿名的方式向我發了郵件，并表示愿意歸還資金,我終于松了口氣，兩個最主要的部分都得到了歸還。并且，羚羊先生向我們透露了很多他監聽到的事件，讓我們終于得以看清事件的全貌。

真正的攻擊者是河馬先生。

他執行了兩筆攻擊，但是都被羚羊先生的機器人搶跑了。

河馬先生非常沮喪，花了一點時間寫了個合約繞開羚羊先生的交易機器人，這次他成功了。資金落入了河馬先生的合約里。

但是河馬先生從合約中提幣時，又被獵豹先生的交易機器人截胡了！羚羊先生和獵豹先生進行了一場gas大戰，最終獵豹先生勝出了。至此，河馬先生執行了3次攻擊，但一無所獲，全部被黑暗森林里的機器人搶跑了！

隨后，河馬先生執行了兩次成功的攻擊，但數額都比較小，總共獲得了大約20w美元的收益。我們仍在追查這筆錢

最終，在攻擊事件發生后的24小時內，我們追回了被盜的380w美元中的310w。

?溫暖的黑暗森林?

黑暗森林里有很多獵手，但他們并沒有像大眾想象地那樣冰冷無情。有一些獵手是溫柔的大型食草動物，他們是黑暗森林里的俠客，從黑客手中截獲了贓款并歸還給了受害者。

時至今日，仍然有很多人認為數字貨幣世界充滿了騙子和黑客，與非法交易、詐騙、維權這些字眼綁定在一起。但事實上，這片森林里有很多不同的角色：DeFi項目方、普通用戶、熱心的吃瓜群眾、武藝超群的套利機器人、實時保持警惕和中立的白帽、出手不一定穩準狠的業余黑客、嫻熟的專業黑客.....

他們共同形成了一個生態，這個生態有自己的公正和道義，每個參與者都或多或少地扮演了執法官的角色。對于誠實的開發者，這是一個溫暖的黑暗森林。

感謝大家?

一方有難，八方支援。在被攻擊后我們得到了很多朋友的幫助，我很慶幸以太坊社區中有如此多的好人，他們在DODO最困難的時候施以援手，我們向以太坊社區的俠客義士致以最崇高的敬意。其中包括：

Peckshield、慢霧、幣安安全團隊

samczsun、Tina

1inch、Tokenlon、Binance、Huobi、Etherscan

還有很多朋友的鼓勵與安慰，即使是競對，在這危急時刻也與我們站在一起。這讓我們感覺冰冷的代碼下隱藏著許多溫熱的東西，對誠實的褒獎、對公平的向往、對信譽的珍視。

番外故事?

在羚羊先生歸還vETH前，他的機器人掉進了一個專門為他精心設計的蜜罐陷阱。

https://etherscan.io/tx/0xb081e1aaf4ea7d6b819fc0ffa8230586854130e6b7313fa23a0cc4509b8c3886

這一陷阱以0.05ETH為誘餌，騙取了324個vETH，價值大約為50w美金。我們不知道誰設計了這個陷阱，可能是不甘心的河馬先生，也有可能是某個看熱鬧的觀眾。

最終羚羊先生慷慨地和我們共同承擔了這一損失。

另外一方面，有些研究者正在構建黑暗森林中的“傳送門”，如MEV研究機構Flashbots的MEV-geth基礎設施、星火礦池的太極等。這些”傳送門“將交易發送者與礦池直連，基于隱私交易設計及對交易排序規則優化，可以避免交易被搶跑。

Tags：OOKIETHDAOALISmall Fish CookieETHplodehdao幣最新消息ALI價格

比特幣