DODO攻擊事件分析：搬起“石頭”，竟砸了自己的腳？_DOD

一、事件概覽

北京時間2021年3月9日，根據輿情監測顯示，去中心化交易所DODO上的wCRES/USDT資金池似乎被黑客攻擊，轉移走價值近98萬美元的WrappedCRES和近114萬美元的USDT。據DODO官方回復目前團隊正在進行調查。原地址如下：https://www.odaily.com/newsflashes/235047.html

DODO 新路線圖：專注資產發行、機構做市商、NFT 和多鏈部署:3月8日消息，去中心化交易協議 DODO 發布最新路線圖，將更關注新資產發行、機構做市商、NFT 定價和多鏈支持等領域。DODO 表示，新資產發行計劃新增白名單、硬頂和 vDODO 配額功能；機構做市商實踐計劃推出 DODO 團隊自有的做市策略，與更多做市商合作，探索高收益基金；將利用 PMM 算法支持 NFT 等資產的證券化、定價、交易與買斷收藏；除了目前支持的以太坊和 BSC 之外，還在開發支持 Heco、OKchain、Clover、Moonbeam、Arbitrum、Avalanche。[2021/3/8 18:25:06]

VIDYX將上線印尼交易所IndoDAX，打通法幣出入金通道:印度尼西亞最大交易所IndoDAX宣布，將于12月16日北京時間下午3點開通VIDYX代幣充值，并在12月17日北京時間下午3點開始正式交易。

IndoDAX是通過印尼政府注冊批準的交易所，用戶數量直逼印尼國家證券交易所，其旗下的幣種都擁有直接的印尼盾交易對，因此上線后將直接為VIDYX打通法幣出入金通道，為Vidy生態中傳統資源與用戶提供便捷渠道。據Vidy官方介紹，VIDYX在印尼有著強大的生態圈，當地主流媒體如CNN、CNBC均為Vidy合作客戶，為VIDYX提供了龐大的用戶基礎。此前，12月12日，VIDYX首發上線Gate.io交易所，開盤最高漲幅高達14倍。[2020/12/16 15:22:43]

△圖1成都鏈安安全團隊第一時間針對該事件啟動安全應急響應，并將事件細節分析進行梳理，以供參考。其實，該事件本身來說并不復雜，其攻擊流程也非常簡單。但因該事件涉及到“閃電貸”“重入攻擊”等熱門話題，因此成都鏈安認為有必要對該事件進行發聲。二、事件分析

去中心化交易平臺DODO已通過首次流動性發行上線DODO代幣:去中心化交易平臺DODO已在其交易平臺上線DODO/USDT交易對。DODO代幣地址為0x43dfc4159d86f3a37a5a4b3d4580b888ad7d4ddd。DODO發行將首次應用PMM算法的價格發現機制（首次流動性發行，即IDO），1%的代幣將會鎖在DODO池子中，并設定DODO初始價格為0.1美元；然后關閉做市功能，開放交易。使交易者通過自由的買賣行為，為DODO發現價格。[2020/9/29]

該事件的攻擊原因主要在于合約的init函數未進行限制，從而導致攻擊者有權利進行調用，如圖2所示：

△圖2經分析，攻擊者利用了DODO合約中提供的閃電貸工具，首先向合約轉移了兩種空氣幣。緊接著，發起了一筆閃電貸交易。在交易結束之前，調用合約的init函數將幣種指向空氣幣，從而躲過了閃電貸的歸還校驗，如圖3所示。

△圖3三、安全建議

成都鏈安安全團隊認為，本起事件并不復雜，但值得敲響警鐘，引起廣大項目方的注意。具體而言，首先是DODO的閃電貸函數是進行了重入校驗的，但由于init函數并沒有添加重入校驗，所以導致了類似重入攻擊的發生。另外，結合成都鏈安審計團隊以往對項目方的安全審計經驗，由于目前代碼的復雜度越來越高，模塊化也隨之越來越多，有許多項目方雖然都使用了init函數進行管理，但需要提醒的是，init函數在solidity中也僅僅只是一個普通函數，在此呼吁廣大項目方與開發者引起重視。切記，不要誤以為取名為“init”，就只能進行一次調用。同時，我們建議，在日常的安全防護中，項目方也需要做好事無巨細的安全加固工作；通過借助第三方安全公司的專業力量，采用“形式化驗證與人工審核”結合的復合式審計方法，方能實現對項目面面俱到的全方位護航。

Tags：DODDODOVIDYVIDdodo幣創始人dodo幣最新消息vidy幣最新消息Allocate Dividend

XMR