Build Finance攻擊事件分析-ODAILY_SUI

0x01：前言

風投DAO組織BuildFinance在社交媒體發文表示，該項目遭遇惡意治理攻擊，攻擊者惡意鑄造了110萬枚BUILD并拋售套利。知道創宇區塊鏈安全實驗室第一時間對本次事件深入跟蹤并進行分析。

0x02：事件詳情

攻擊者Suho

functionvote(uint_proposalId,bool_support)publiclockVotes{require(state(_proposalId)==ProposalState

Sui基金會舉辦的Sui Builder House香港站活動已收官:金色財經報道，由Sui基金會舉辦的Sui Builder House香港站活動已收官，為期三天，其中最后一場活動Sui Demo Day旨在為Sui生態中的新老項目提供展示項目的平臺，共吸引了超過40個團隊報名參賽。本次Demo Day分為NFT和游戲、基礎設施和開發工具、DID&治理和社交、DeFi和支付四個主要賽道。[2023/4/17 14:07:36]

else{proposal

Axie Infinity推出Builders Program計劃，旨在進一步提升游戲體驗:1月21日消息，P2E游戲Axie Infinity官方宣布推出Builders Program，并提供總計5000枚AXS支持該計劃，旨在為社區開發者提供資源、推廣、支持和工具以進一步提升Axie Infinity的游戲體驗。據Axie Infinity透露，凡是入選的項目至少可以獲得價值5000美元的AXS捐贈，還能得到SkyMavis游戲設計和產品的指導，以及Ronin Network測試網、SSO和錢包集成等支持。[2022/1/22 9:05:16]

receipt

Ocean Builder購買游輪命名為“中本聰” 并將容納加密公司:海洋建筑公司Ocean Builder購買了一艘舊澳大利亞游輪，并將其重新命名為“Satoshi（中本聰）”，并計劃在巴拿馬海岸附近接納加密公司和企業家。Ocean Builder首席運營官Chad Elwartowski表示，這艘船將構成一個創新中心并提供一個獨特的空間，加密企業家可以在其中建立網絡。（Cointelegraph）[2020/10/14]

該函數方法允許任何擁有一定數量資產的用戶發起提案，持有該資產的其他用戶進行投票，函數代碼未發現安全問題，因此我們推測攻擊者可能是通過合約發起的提案。在提案通過后，攻擊者鑄造了100萬個BUILD代幣，耗盡大部分Balancer和Uniswap流動性池的資金：

而在2021年1月，TimeLock合約將治理權交給了0x5a5a6ebeb61a80b2a2a5e0b4d893d731358d888583：

最后在2022年2月，由Suho.eth發起提案，利用低投票閾值將治理者更換為0xdcc8a38a3a1f4ef4d0b4984dcbb31627d0952c28，惡意接管后鑄幣套現。

0x03：總結

經過完整分析，知道創宇區塊鏈安全實驗室明確了該次事件的源頭由攻擊者創造低閾值提案，讓自己惡意接管了治理權限，去中心化的治理實現是很有必要的，但不應該讓攻擊者可以利用少量投票就通過提案。

Tags：BUILDSUIPROFINbuild幣圈sui幣是國人盤嗎PAC ProtocolYFIN幣

BTC