慢霧簡析 DAO Maker 被黑：攻擊者最終獲利近 400 萬美元_RUM

鏈聞消息，據慢霧區情報，DAOMaker的Vesting合約遭到黑客攻擊。DeRaceToken、Coinspaid、CapsuleCoin、ShowcaseToken都使用了DaoMaker的分發系統，在DAOMaker中進行持有者發行時因DAOMaker合約被攻擊，即SHO參與者的分發系統中出現了一個漏洞：init未初始化保護，攻擊者初始化了init的關鍵參數，同時變更了owner，然后通過emergencyExit將目標代幣盜走，并兌換成了DAI，攻擊者最終獲利近400萬美元。黑客利用Vesting合約中的漏洞，將Vesting合約中的代幣提走，如下是簡要分析：對Vesting合約的實現合約0xf17ca0e0f24a5fa27944275fa0cedec24fbf8ee2進行反編譯得到如下信息：1.Vesting合約中的init函數(函數簽名：0x84304ad7)，沒有對調用者進行鑒權，黑客通過執行init函數成為Vesting合約的Owner。2.Owner可以執行Vesting合約中的emergencyExit函數，進行緊急提款。

分析 | 慢霧：攻擊者拿下了DragonEx盡可能多的權限 攻擊持續至少1天:據慢霧安全團隊的鏈上情報分析，從DragonEx公布的“攻擊者地址”的分析來看，20 個幣種都被盜取（但還有一些DragonEx可交易的知名幣種并沒被公布），從鏈上行為來看攻擊這些幣種的攻擊手法并不完全相同，攻擊持續的時間至少有1天，但能造成這種大面積盜取結果的，至少可以推論出：攻擊者拿下了DragonEx盡可能多的權限，更多細節請留意后續披露。[2019/3/26]

動態 | 慢霧預警：Electrum釣魚更新事件預警:據慢霧區消息，此前對Electrum錢包進行攻擊的黑客利用Electrum的軟件異常構造惡意的軟件更新提示，誘導用戶更新下載惡意軟件使用，慢霧團隊提醒用戶，如果您使用的Electrum 提示更新請注意仔細核對信息，認準官方網站和軟件版本并作簽名校驗。真實的官方網站和下載鏈接如下：

github.com/spesmilo/electrum（GitHub的倉庫托管代碼）、https://electrum.org/（該項目的網站）

假冒的是：github.com/electrum-wallet/electrum/releases

如果您看到以上虛假地址，請忽略它并更改服務器。

此外，慢霧區提醒項目方，可接入 DApp 防火墻免疫此類攻擊，阻斷攻擊者進一步擴大攻擊范圍。[2018/12/28]

現場 | 慢霧海賊王：保障安全需找專業安全團隊做專業審計:金色財經現場報道，在今日萬向區塊鏈實驗室舉辦的2018區塊鏈·新經濟第四屆區塊鏈全球峰會上，慢霧安全負責人海賊王稱，一筆合法交易的USDT，至少需要滿足以下兩個條件：(1)要通過比特幣的交易來構造，要符合比特幣的余額驗證及交易規則驗證；(2)要通過USDT自己的余額驗證。他總結說，要保障安全，需找專業的安全團隊做專業的審計。[2018/9/10]

Tags：ELELECRUMELECUSELESS價格FilecashRumble Gamingelec幣怎么樣

AVAX