2021 年 08 月 12 日，据慢雾区消息，加密孵化机构 DAO Maker 疑似遭受黑客攻击，导致合约大量 USDC 被转出。慢雾安全团队第一时间介入分析，并将分析结果分享如下。? ?
在本次攻击中，攻击者部署并开源了一个攻击合约 (0x1c) 用于快速批量的从 DAO Maker 受害合约 (0x41) 中窃取资金。
攻击者地址 1：
0xd8428836ed2a36bd67cd5b157b50813b30208f50
攻击者地址 2：
0xef9427bf15783fb8e6885f9b5f5da1fba66ef931
攻击合约：
0x1c93290202424902a5e708b95f4ba23a3f2f3cee
DAO Maker 受害合约：
0x41B856701BB8c24CEcE2Af10651BfAfEbb57cf49
DAO Maker 受害合约 deployer：0x054e71D5f096a0761dba7dBe5cEC5E2Bf898971c
吉尔吉斯斯坦当局缴获2000台非法加密货币采矿设备:近日，吉尔吉斯斯坦国家安全委员会（GKNB）在首都比什凯克和丘伊州进行打击非法挖矿行动，突击搜查并缴获了2000台非法加密货币采矿设备。州委员会强调，加密货币的开采过程对该国的电网造成了“巨大破坏”。据悉，2020年8月，经济部曾提出了一项规范吉尔吉斯斯坦比特币采矿税的法案。（Bitcoin news）[2021/5/28 22:52:39]
DAO Maker 受害合约 admin：0x0eba461d9829c4e464a68d4857350476cfb6f559
本次攻击与往常攻击不同的是：DAO Maker 受害合约 (0x41) 未开源，而攻击合约 (0x1c) 却开源了。
从上图开源的攻击合约以及链上记录我们可以看出：?
1. 黑客调用攻击合约 (0x1c) 的 h 函数，h 函数会循环调用 f 函数，f 函数通过 DAO Maker 受害合约的 0x4b4f892a 函数获取普通用户在受害合约 (0x41) 中的 USDC 存款数量。
算法稳定币今日平均跌幅为0.83%:金色财经行情显示，算法稳定币今日平均跌幅为0.83%。8个币种中4个上涨，4个下跌，其中领涨币种为：MITH(+6.67%)、LUNA(+6.46%)、FRAX(+0.47%)。领跌币种为：RSR(-5.67%)、AMPL(-5.30%)、BAGS(-4.47%)。[2021/3/5 18:18:31]
2. 函数 h 接着调用 DAO Maker 受害合约 (0x41) 的withdrawFromUser(0x50b158e4) 函数，传入用户存款的用户地址、USDC 地址与需要提款的数量。
3. 随后 DAO Maker 受害合约 (0x41) 将合约中的 USDC 转移至攻击合约中 (0x1c)。
通过以上行为分析我们可以发现：攻击合约 (0x1c) 调用了受害合约 (0x41) 的? withdrawFromUser 函数，受害合约 (0x41) 就将合约管理的资金直接转给攻击合约 (0x1c) 。我们直接反编译受害合约 (0x41) 查看 withdrawFromUser 函数进行简单分析：
通过反编译的代码我们可以发现，此函数是有进行权限检查的，只有 DAO contracts 才能调用此函数转移用户的资金。但攻击合约? (0x1c) 明显不是 DAO 合约，因此其 DAO 合约必然是被攻击者替换过的。
通过链上分析我们可以清楚的看到：
1. 受害合约部署者 (0x05) 在部署受害合约 (0x41)? 后于 UTC 4 月 12 日 08:33:45 将 0x0eba461d9829c4e464a68d4857350476cfb6f559?地址设置为了管理员角色：
Tx Hash:
0xa1b4fceb671bb70ce154a69c2f4bd6928c11d98cbcfbbff6e5cdab9961bf0e6d
2. 随后受害合约部署者 (0x05) 通过调用 revokeRole 函数放弃了受害合约 (0x41) 管理权限：
Tx Hash:?
0x773613398f08ddce2cc9dcb6501adf4f5f159b4de4e9e2774a559bb1c588c1b8
3. 而管理员则在 UTC ?8 月 12 日 01:27:39 将 DAO 合约设置为了攻击合约 (0x1c) ：
0x2fba930502d27f9c9a2f2b9337a0149534dda7527029645752b2a6507ca6b0d6
因此攻击者才得以借助此攻击合约 (0x1c) 将受害合约 (0x41) 中用户的资金盗走。目前被盗资金被兑换成 ETH 转移至攻击者地址 2 (0xef)。
本次攻击可能源于 DAO Maker 受害合约的管理员私钥泄漏。攻击者窃取私钥后将受害合约的 DAO 合约替换为了攻击合约，攻击者通过替换后的合约转走了合约中的用户资金。而由于合约部署者在设置完合约管理员后就放弃的合约管理权限，因此目前项目方可能还无法有效的取回合约控制权。
你有没有想过,YouTube视频是否会影响加密货币市场？TIE已经确定了影响者推动市场的案例,所以让我们用数据说话。 YouTube继续成为加密资产领域的一个增长力量。就像众所周知的影响者在消费品和时尚行业刺激参与一样,流行社媒人物也在影响着加密资产和协议的用户交易者。在这一节中,我们将研究一系列关键的主题及其对市场情绪的总体贡献。
Variant Fund联合创始人Spencer Noon近日在推特上发布了NFT投资者可以用来评估项目的7个指标。Noon解释了各个指标的目的,选择这个指标的原因,以及获取这些指标的工具网站。 计算方式：7 天平均价格 * 总供应量 选择该指标的原因：与同质化代币相比,NFT 市场的流动性通常较低,而且转移速度要慢得多。
如果你在 2009-12 年左右的移动黄金时代是一位雄心勃勃、喜欢冒险的创始人,那么你开发了一款新的移动应用。那是 Uber、WhatsApp、Instagram、Venmo、Snapchat 和许多其他顶级应用程序诞生的时候。 自那以后,移动技术的采用率呈现了 S 型曲线。仍然会构建出色的移动应用程序,但已经摘下了唾手可得的果实。
据报道,全球管理资产百大银行中,有一半以上是基于加密货币和区块链技术的主要公司和项目的投资者。 据报道,全球银行业巨头正在通过为该行业的项目和企业提供早期和后期资金的方式,加大对新兴加密货币和区块链公司的参与。 根据区块链市场情报机构Blockdata的研究,按管理资产（AUM）计算的前100家银行中,有55家银行以某种形式投资了这项新技术。
rollups是什么？Optimism和ZK rollups有什么区别？Arbitrum与Optimism有何不同？为什么在扩展以太坊时,rollup被认为是圣杯？你将在本文中找到这些问题的答案。 以太坊扩展一直是加密货币领域讨论最多的话题之一。
2021年8月12日加密数据分析平台Dune Analytics宣布完成800万美元A轮融资,Union Square Ventures领投,Redpoint Ventures、Multicoin Capital、Dragonfly等参投。 其中Multicoin Capital在种子轮就投了Dune Analytics。
区块见闻