NAN:Build Finance攻击事件分析_elk-finance

DAO组织BuildFinance在社交媒体发文表示，该项目遭遇恶意治理攻击，攻击者恶意铸造了110万枚BUILD并抛售套利。知道创宇区块链安全实验室第一时间对本次事件深入跟踪并进行分析。

该合约线上提案投票地址?https://snapshot

functionvote(uint_proposalId,bool_support)publiclockVotes{require(state(_proposalId)==ProposalState

Cardano生态最大Web3黑客松Cardano EMURGO BUILD 2023在DoraHacks.io开启报名:5月30日消息，由EMURGO Ventures主办的Cardano EMURGO BUILD 2023报名入口已在开发者激励平台DoraHacks.io开启。

作为Cardano生态中最大规模的Web3黑客马拉松，本此活动评审团来自EMURGO、EMURGO Ventures、Cardano Foundation、Input Output Global（IOG）、Binance、Republic Crypto和Wave Financial。活动总资助池超200万美元。项目提交截止时间为7月3日。

Cardano EMURGO BUILD 2023面向全球Web3开发人员，鼓励其基于Cardano网络，在Derivatives、Aggregators和Zero-Knowledge三大赛道上构建具有创新意义的dApp，以进一步丰富整个生态体系。[2023/5/30 11:48:13]

else{proposal

中币（ZB)早行情：BTC现报13086美元:据中币（ZB）交易平台行情数据，截止到今日09:43时，BTC现报13086美元（+0.25%），ZB积分现报0.26美元(-2.71%）。据CoinMarketCap统计的数字货币总市值为3939亿美元，24小时总交易额为1025亿美元，比特币市值占比61.5%。全球市值前100名的数字货币有46支上涨，54支下跌。主流资产价格为：ETH报394.5美元（-3.12%），EOS报2.64美元（-2.94%），XRP报0.24美元（-2.88%），LTC报57.58美元（-2.06%）。中币（ZB）24小时内涨幅前三的数字货币是：DOT（+12.34%）、DOGE（+1.24%）、BTC（+0.21%）。[2020/10/27]

receipt

动态 | Coinbase已经提交了“buidl”的商标请求:据thenextweb报道，Coinbase已经提交了“buidl”的商标请求。该申请文件确定了与“软件即服务（SAAS）服务相关的商标”，该服务采用虚拟货币交易软件，即用于管理、购买、销售、存储、交易、交换、发送和接收虚拟货币的软件。[2018/12/6]

该函数方法允许任何拥有一定数量资产的用户发起提案，持有该资产的其他用户进行投票，函数代码未发现安全问题，因此我们推测攻击者可能是通过合约发起的提案。在提案通过后，攻击者铸造了100万个BUILD代币，耗尽大部分Balancer和Uniswap流动性池的资金：

随后又通过治理合约控制平衡池，耗尽包括13万METRIC代币在内的其他数字资产：

最后丧心病狂的铸造了一亿个Build，出售给任何还存在流动性的池子：

目前还未确定攻击者发起通过的提案内容，但根据通过提案后的铸币行为，跟进到代币合约0x6e36556b3ee5aa28def2a8ec3dae30ec2b208739：

addresspublicgovernance;constructor()publicERC20Detailed("BUILDFinance","BUILD",18){governance=msg

functionmint(addressaccount,uintamount)public{require(msg

functionsetGovernance(address_governance)public{require(msg

合约在初始化的时候会设置合约拥有者为治理者，并且只有治理者可以发起铸币请求，而只有治理者才能调用setGovernance函数更换治理者，因此可以确定，攻击者发起的具体提案为更换治理者。

在创建合约的时候，治理者为0x2Cb037BD6B7Fbd78f04756C99B7996F430c58172，也就是合约部署者，他在部署合约后将治理者更换为TimeLock合约0x38bce4b45f3d0d138927ab221560dac926999ba6：

而在2021年1月，TimeLock合约将治理权交给了0x5a5a6ebeb61a80b2a2a5e0b4d893d731358d888583：

最后在2022年2月，由Suho.eth发起提案，利用低投票阈值将治理者更换为0xdcc8a38a3a1f4ef4d0b4984dcbb31627d0952c28，恶意接管后铸币套现。

0x03：总结

经过完整分析，知道创宇区块链安全实验室?明确了该次事件的源头由攻击者创造低阈值提案，让自己恶意接管了治理权限，去中心化的治理实现是很有必要的，但不应该让攻击者可以利用少量投票就通过提案。

标签：ANCNCENANBUILDanc币还能涨回来吗elk-financeHugo Financebuildyourtrust

莱特币热门资讯