首發 | 自家客戶被盜了？一文還原Axion Network攻擊事件始末_TIK

在11月2日上線后僅幾個小時，AxionNetwork代幣AXN的價格暴跌了100%。這次價格暴跌披露了其存在的漏洞，下文是CertiK安全審計團隊針對此事件的完整分析。

2020年11月2日北京時間晚上七時左右?，黑客利用AxionStaking合約的unstake函數設法鑄造了約800億個AXN代幣。

黑客隨后將AXN代幣在Uniswap交易所中兌換以太幣，重復此過程，直到Uniswap中ETH-AXN交易對的以太幣所被耗盡，同時AXN代幣價格降至0。

在攻擊發生后的幾分鐘內，CertiK安全審計團隊獲知了該攻擊事件，并即刻展開了調查。

CertiK安全審計團隊認為該攻擊極大可能是內部操作造成的，該內部操作通過在部署代碼時，對項目依賴的OpenZeppelin依賴項注入惡意代碼。?

被惡意利用的智能合約函數不屬于CertiK審核的范圍內。

《精靈達人3D》正式首發 Cocos-BCX 主網:據官方消息，近日，由生態合伙人 DAPPX 參與開發的《精靈達人3D》正式首發于游戲公鏈 Cocos-BCX 主網。《精靈達人3D》是一款以精靈寶可夢為題材的抓寵游戲，游戲美術采用全3D 制作。用戶可通過 CocosWallet ， DAPPX 或 IMCOCOS 登錄 COCOS 主網賬號即可體驗。截至目前，Cocos-BCX 主網已上線《加密騎士團》《惡龍必須死》《XPEX怪獸世界》《Go Block》《可可奪幣》《熊貓運動會》等多款玩法多樣的趣味性鏈游，游戲公鏈生態在逐步壯大和完善。[2020/8/20]

在將Axion項目代碼和OpenZeppelin依賴代碼結合并進行部署時，該惡意代碼隨著OpenZeppelin依賴代碼被注入到部署的項目中。

攻擊預謀

黑客在發動攻擊時使用的是前一天從tornado.cash?中獲取的匿名資金?，說明這是一次有預謀的攻擊。

首發 | 區塊鏈技術及軟件安全實戰基地正式成立:金色財經報道，今日，中軟協區塊鏈分會、人民大學、菏澤市局相關部門聯合共建的區塊鏈技術及軟件安全實戰基地正式成立。同時聘任中軟協區塊鏈分會副秘書長宋愛陸為區塊鏈技術及軟件安全實戰基地特別專家。

區塊鏈技術及軟件安全實戰基地主要涉及領域為：非法數字貨幣交易與洗錢、區塊鏈傳銷與電信詐騙、網絡賭博、四方支付、冒用商標注冊等，聯合社會治理、城市安全、前沿技術領域的行業專家，進行警協合作。

據公開報道，近期菏澤市下屬機關剛破獲一起特大電信網絡詐騙案，打掉多個涉嫌以網貸和投資“比特幣”為名的詐騙團伙，抓獲犯罪嫌疑人83名，扣押凍結涉案資金2700萬元。[2020/7/21]

可能是以防攻擊失敗而節省一些資金，黑客賬戶在收到資金后，立即通過tornado.cash轉出了2.1個以太幣。

作為本次攻擊的準備工作的最后一步，黑客從Uniswap交易所購買了大約70萬個HEX2T代幣?。然而，這些資金最終沒有參與到攻擊中，而是為掩護攻擊行為而放出的煙霧彈。

動態 | 可信教育數字身份在廣州白云區首發 采用區塊鏈等技術:12月25日，可信教育數字身份(教育卡)廣東省應用試點首發儀式與應用研討在廣州市白云區舉行。

據介紹，可信教育數字身份融合采用國產密碼、區塊鏈等核心技術，創新簽發“云計算、邊緣計算、移動計算”網絡環境下的一體化數字身份，實現一體化密鑰管理，構建“可信教育身份鏈”。（中國新聞網）[2019/12/25]

攻擊準備

在北京時間下午四時?，黑客先以數量為?0?和持續抵押時間為?1?天為參數調用stake函數，在AxionNetwork的抵押合同中創建“空”抵押。

這為黑客創建了一個Session條目，其會話ID為6，數量為0，股價為0。

此后，黑客預料到攻擊將會成功，因此向Uniswap交易所預先授權了無限制的AXN。

隨后，他們批準了Axion的NativeSwap合約，以獲取即將轉換為AXN代幣的資金額。

首發 | DVP: Bitstamp交易所存在漏洞 可導致大量KYC等信息被泄露:金色財經訊，近日，DVP收到安全人員提交的全球知名交易所Bitstamp的漏洞，攻擊者可以利用該漏洞查看大量用戶ID、銀行卡等敏感信息，嚴重威脅用戶信息安全。為避免發生KYC泄露的惡性事件，DVP安全團隊在收到該漏洞后，第一時間通知該平臺進行修復，但未收到回應。DVP提醒相關用戶關注個人信息安全，以免造成損失。[2019/8/13]

黑客在大約北京時間下午五時?調用了NativeSwap合約的deposit函數，然而黑客并未調用該合約的withdraw函數來獲取其交換得到的AXN，這在NativeSwap合約的swapTokenBalanceOf函數清晰可見。

隨后，他們在執行攻擊前又調用了一次deposit函數，但是這次調用執行最終失敗。

攻擊執行

金色首發 EOS超級節點競選投票率達6.49%:金色財經數據播報，截止北京時間6月13日15:50，EOS投票率達6.49%。EOS引力區和EOS佳能作為兩個來自中國的超級節點競選團隊暫居第五和第六名。其中EOS引力區的得票總數為903萬，占比2.96%；EOS佳能的得票總數為877萬，占比2.87%。此前異軍突起的EOSflytomars暫居第17位，得票總數為630萬，占比2.07%。目前躋身前30名的超級節點競選團隊中，有八個團隊來自中國。[2018/6/13]

以上提到的交易僅僅是黑客為了掩護真正unstake攻擊的煙霧彈。

由于黑客進行的交易未更改sessionDataOf映射，因此可以得出結論，這是一次多地址攻擊。

為了找到可能導致sessionDataOf映射受到影響的原因，CertiK安全審計團隊在GitHub代碼存儲庫中審查了項目方與CertiK共享的合約源代碼。

經過仔細驗證，團隊無法在stake函數之外檢測到對其或其成員的任何修改操作，這使得我們懷疑該項目智能合約是否被正確的部署。

攻擊途徑

在分析了已部署的Staking合約源代碼之后，CertiK安全審計團隊在Staking合約的已部署的源代碼?第665-671行發現了一處代碼注入，該代碼注入發生在被修改的OpenZeppelin庫中的AccessControl智能合約。

鏈接中的checkRole函數不屬于OpenZeppelinv3.0.1的實現，而OpenZeppelinv3.0.1?在項目的GitHub代碼存儲庫中被列為依賴項。

在checkRole函數中，存在以下assembly模塊：

此函數允許特定地址通過底層調用根據其傳入的參數對合約進行任意寫入。帶注釋的assembly模塊如下所示：

此函數是在合約部署時添加的，因為OpenZeppelin的AccessControl的實現中并不存在此函數，這意味著參與部署代幣的AxionNetwork成員從中作梗。?

結論

此次攻擊涉及到的代碼，是在合約部署前被人為故意添加進去的。

此次事件與CertiK完成的審計毫無關聯，對這次攻擊所負責的人應是參與了AxionNetwork合約部署的相關人員。

在此CertiK也特別強調，為了保證審計報告的有效性，和對項目安全的保障，審計報告應包括已部署的智能合約地址。地址所指向的合約的代碼應是和被審計過的源代碼相同的。因此，請大家切勿因為看到項目“已審計”就不做任何背景調查而盲目跟進。?

CertiK安全預言機，作為一個鏈上可實時交互進行安全檢測的工具，可以有效確保并驗證已部署的智能合約匹配已被審計的版本。

它可以從去中心化的安全運營商網絡中檢索一組安全評分，獲得安全可靠的網絡評估源代碼，所有人都可以通過使用預言機來驗證合約安全性。

在基于區塊鏈的生態系統中，提高安全性就必須將傳統審計與鏈上安全性分析相結合。CertiK安全預言機將有效減少鏈上交易與實時安全檢測之間的距離，致力于運用去中心化的方法來解決安全難點。

參考鏈接：

?https://etherscan.io/tx/0xc2a4a11312384fb34ebd70ea4ae991848049a2688a67bbb2ea1924073ed089b4

?https://tornado.cash/

?https://etherscan.io/tx/0x86f5bd9008f376c2ae1e6909a5c05e2db1609f595af42cbde09cd39025d9f563/advanced

?https://etherscan.io/tx/0x6b34b75aa924a2f44d6fb2a23624bf5705074cbc748106c32c90fb32c0ab4d14

?https://etherscan.io/tx/0x5e5e09cb5ccad29f1e661f82fa85ed172c3b66c4b4922385e1e2192dc770e878

?https://etherscan.io/tx/0xf2f74137d3215b956e194825354c693450a82854118a77b9318d9fdefcfbf875

?https://etherscan.io/address/0xcd5f8dcae34f889e3d9f93f0d281c2d920c46a3e

?https://github.com/OpenZeppelin/openzeppelin-contracts/blob/v3.0.1/contracts/access/AccessControl.so

Tags：CERcertikTIKCERTInfluencer Dogecertik幣價TIKKY價格Animal Concerts

世界幣