BTC/HKD+3.51%
ETH/HKD+1.85%
LTC/HKD+4.67%
DOT/HKD-2.55%
ADA/HKD-5.41%
SOL/HKD+1.59%
XRP/HKD-0.38%
DOGE/US-1.97%據消息，去中心化交易平臺DODO的wCRES/USDTV2資金池被黑客攻擊，轉走價值近98萬美元的wCRES和近114萬美元的USDT。DODO表示，團隊已下線相關資金池建池入口，該攻擊僅影響DODOV2眾籌池，除V2眾籌池之外，其他資金池均安全；團隊正在與安全公司合作調查，并努力挽回部分資金。更多后續消息請關注DODO官方社群公告。
慢霧安全團隊在第一時間跟進并分析，下面將細節分析給大家參考。
攻擊細節分析
通過查看本次攻擊交易，我們可以發現整個攻擊過程非常簡單。攻擊者先將FDO和FUSDT轉入wCRES/USDT資金池中，然后通過資金池合約的flashLoan函數借出wCRES和USDT代幣，并對資金池合約進行初始化操作。
Gemini可能在法院裁決后重新上市XRP代幣:金色財經報道，加密貨幣交易所Gemini表示，在美國聯邦法院周四裁定XRP代幣在交易所和通過算法銷售不構成投資合同后，Gemini正在探索Ripple代幣的重新上市。[2023/7/14 10:53:42]
為何存入FDO和FUSDT代幣卻能成功借出wCRES和USDT，并且初始化資金池合約呢？是因為資金池的閃電貸功能有漏洞嗎？
接下來我們對flashLoan函數進行詳細分析：
通過分析具體代碼我們可以發現，在進行閃電貸時會先通過_transferBaseOut和_transferQuoteOut函數將資金轉出，然后通過DVMFlashLoanCall函數進行具體外部邏輯調用，最后再對合約的資金進行檢查。可以發現這是正常閃電貸功能，那么問題只能出在閃電貸時對外部邏輯的執行上。
數據：5天內Jump Trading共將約22億美元ETH從托管地址轉至新地址:6月15日消息，據0xScope Protocol監測，加密做市商Jump Trading在6小時前將11.2萬枚ETH（1.85億美元）從托管地址轉移到一個全新地址中，且在過去的5天里，共有133萬枚ETH（約22億美元）從托管地址轉出。[2023/6/15 21:38:54]
通過分析閃電貸的外部邏輯調用，可以發現攻擊者調用了wCRES/USDT資金池合約的init函數，并傳入了FDO地址和FUSDT地址對資金池合約進行了初始化操作。
Terraform Labs以美國法律不適用為由尋求駁回集體訴訟:金色財經報道，Terraform Labs正在尋求駁回美國投資者Nick Patterson等提起的針對該公司的集體訴訟，理由是所引用的美國證券法不適用于其外國開發的協議。據悉，該訴訟聲稱Terraform Labs出售未注冊證券并誤導投資者。
根據Terraform的說法，同樣的論點也適用于訴訟中的RICO（受敲詐勒索者影響和腐敗的組織）指控，該指控聲稱該公司的目標是以散戶投資者為代價獲取利潤。[2023/5/5 14:44:21]
到這里我們就可以發現資金池合約居然可以被重新初始化。為了一探究竟，接下來我們對初始化函數進行具體的分析：
通過具體的代碼我們可以發現，資金池合約的初始化函數并沒有任何鑒權以及防止重復調用初始化的邏輯，這將導致任何人都可以對資金池合約的初始化函數進行調用并重新初始化合約。至此，我們可以得出本次攻擊的完整攻擊流程。
攻擊流程
1、攻擊者先創建FDO和FUSDT兩個代幣合約，然后向wCRES/USDT資金池存入FDO和FUSDT代幣。
2、接下來攻擊者調用wCRES/USDT資金池合約的flashLoan函數進行閃電貸，借出資金池中的wCRES與USDT代幣。
3、由于wCRES/USDT資金池合約的init函數沒有任何鑒權以及防止重復調用初始化的邏輯，攻擊者通過閃電貸的外部邏輯執行功能調用了wCRES/USDT資金池合約的初始化函數，將資金池合約的代幣對由wCRES/USDT替換為FDO/FUSDT。
4、由于資金池代幣對被替換為FDO/FUSDT且攻擊者在攻擊開始時就將?FDO和FUSDT代幣存入了資金池合約，因最終通過了閃電貸資金歸還的余額檢查而獲利。
總結
本次攻擊發生的主要原因在于資金池合約初始化函數沒有任何鑒權以及防止重復調用初始化的限制，導致攻擊者利用閃電貸將真幣借出，然后通過重新對合約初始化將資金池代幣對替換為攻擊者創建的假幣，從而繞過閃電貸資金歸還檢查將真幣收入囊中。
參考攻擊交易：
https://cn.etherscan.com/tx/0x395675b56370a9f5fe8b32badfa80043f5291443bd6c8273900476880fb5221e
Tags：SDTUSDTUSDWCRES泰達幣usdt官網下載coinbase買的USDT不能發送VUSD幣WCRES幣
移動支付網訊：近日,數字人民幣試點活動相繼在深圳、蘇州、北京、成都等地展開,在當地用戶踴躍報名參與之下,數字人民幣帶來了群眾熱度、引發了行業的關注,但同時也成為了投機者和犯罪團伙的詐騙手段.
1900/1/1 0:00:00熱點時事 目前短期美債導致股市下跌的風險目前已經釋放,幣圈率先走出獨立行情今年的大環境不會產生全球范圍內的系統性危機,短期的調整更加利于長期的上漲.
1900/1/1 0:00:00親愛的用戶： 幣安礦池上線第33期“雙幣投資”理財產品,邀您體驗！申購方式：先到先得申購時間：2021年03月10日中午12:00至2021年03月11日中午12:00理財產品列表 數字資產 周.
1900/1/1 0:00:00行情觀點：下午給出的操作建議：反彈53800-54000附近空單,目標53000-52500-52000,止損55000,掃止損離場,小時級別來看,大餅早盤沖高遇壓55816.09回調.
1900/1/1 0:00:00據國外媒體報道,在周一舉行的“加密和區塊鏈領域的女性”會議上,有一位三歲小孩以一段視頻演講拉開了婦女節的序幕。這位被稱為“幼兒領域領先的加密貨幣專家”的三歲小孩,是這次線上活動中最年輕的演講者.
1900/1/1 0:00:00佳士得拍賣行有史以來第一份NFT作品拍賣將于3月11日結束,目前出價已近5500枚ETH,價值已超千萬美元。佳士得成立于1766年英國倫敦,據稱是世界上歷史最悠久的藝術品拍賣行.
1900/1/1 0:00:00
比特幣交易所
