600萬美元損失 去中心化音樂平臺Audius攻擊事件分析_THE

北京時間2022年7月23日，CertiK安全團隊監測到去中心化音樂平臺Audius遭到黑客攻擊，損失了價值600萬美元的AUDIO代幣。攻擊者通過調用initialize()函數重新初始化修改了Audius治理合約的配置，然后提出并執行了一個惡意提案，導致Audius合約將1850萬AUDIO代幣轉移給攻擊者。

大約價值600萬美元的AUDIO代幣被攻擊者交易為約700ETH。

攻擊步驟

①?攻擊者調用Audius治理合約中的initialize()函數來修改配置，如“投票期”、“執行延遲”、“監護人地址”。該函數受到“initializer”修改器的保護，不應該被多次調用。

A股收盤：深證區塊鏈50指數上漲1.45%:金色財經消息，A股收盤，上證指數報3155.22點，收盤上漲1.01%，深證成指報11332.01點，收盤上漲2.13%，深證區塊鏈50指數報2917.12點，收盤上漲1.45%。區塊鏈板塊收盤上漲0.28%，數字貨幣板塊收盤上漲0.6%。[2023/1/5 10:23:05]

https://etherscan.io/tx/0x3bbb15f9852c389e8d77399fe88b49b042d0f22aad4a33c979fbabc60a34b24f

https://etherscan.io/tx/0xfefd829e246002a8fd061eede7501bccb6e244a9aacea0ebceaecef5d877a984

MassMutual、BlockFi是Core Scientific的最大債權人之一:金色財經報道，MassMutual是比特幣礦企Core Scientific確定的債權人之一，該公司本周表示，從10月底開始，它將不會支付到期的款項，并可能考慮破產。Core Scientific欠一系列公司約10億美元，包括加密貨幣貸款人BlockFi、投資銀行公司B. Riley、加密貨幣金融服務公司NYDIG和數字資產銀行Anchorage Digital的母公司Anchor Labs。

該公司在一份美國證券交易委員會的文件中說：如果發生破產程序或破產，或者我們的資本結構重組，該公司的普通股持有人可能會遭受他們的投資的全部損失。Core Scientific承認，它可能因錯過付款而被起訴。（the block）[2022/10/29 11:54:40]

https://dashboard.tenderly.co/tx/mainnet/0xfefd829e246002a8fd061eede7501bccb6e244a9aacea0ebceaecef5d877a984/debugger?trace=0.0.0.1.0.0

Polygon與Axelar達成合作，增強Polygon Supernets的安全跨鏈通信:10月26日消息，Polygon宣布與連接Web3生態系統的安全通信層Axelar達成合作，以增強Polygon Supernets的安全跨鏈通信。Polygon Supernets技術允許創建特定于應用程序的、可擴展的和可定制的區塊鏈網絡。Axelar是Polygon的早期采用者之一，它將允許dApp用戶一鍵安全地將資產轉移到Supernets和其他連接鏈。[2022/10/26 16:39:27]

NFT Worlds團隊：正與《我的世界》團隊溝通，并考慮備選方案:7月21日消息，針對“《我的世界》禁止在游戲中使用NFT或其他區塊鏈技術”，NFT Worlds項目團隊在其Discord頻道發文回應稱，目前正在與《我的世界》（Minecraft）團隊相關人員進行溝通，了解禁令發布原因，并爭取在Minecraft平臺繼續運營。

如果溝通不能取得預期效果，NFT Worlds也在考慮以下備選方案：

1. 將項目遷移至類似Minecraft的游戲引擎和游戲平臺；

2. 轉型為GameFi平臺，為游戲開發者或游戲工作室提供技術服務。

此前消息，《我的世界》（Minecraft）更新其使用指南，宣布禁止Minecraft客戶端和服務器應用程序集成區塊鏈技術，也不得用于創建與任何游戲內容相關的NFT，包括世界、皮膚、角色物品或其他模組。[2022/7/21 2:27:59]

②?攻擊者提交了惡意提案，該提案是要求Audius治理合約向攻擊者轉移1850萬AUDIO代幣。https://etherscan.io/tx/0xfefd829e246002a8fd061eede7501bccb6e244a9aacea0ebceaecef5d877a984.

③?攻擊者對惡意提案進行投票。https://etherscan.io/tx/0x3c09c6306b67737227edc24c663462d870e7c2bf39e9ab66877a980c900dd5d5

④?攻擊者執行了惡意提案，獲得了1850萬AUDIO代幣。https://etherscan.io/tx/0x4227bca8ed4b8915c7eec0e14ad3748a88c4371d4176e716e8007249b9980dc9

⑤?攻擊者售出1850萬AUDIO代幣，獲取了約700ETH。https://etherscan.io/tx/0x82fc23992c7433fffad0e28a1b8d11211dc4377de83e88088d79f24f4a3f28b3?

漏洞分析

CertiK安全團隊在調查中，試圖找出攻擊者是如何多次調用initialize()的。

分析后發現事件的根本原因是代理合約和邏輯合約之間存在存儲沖突——邏輯合約使用了代理合約的內存。

為了解決這個問題，Audius做出了相應調整:

①?修改了邏輯合約的存儲結構：

②?限制了可以調用initialize()函數的權限：

資金去向

攻擊者合約:?https://etherscan.io/address/0xbdbb5945f252bc3466a319cdcc3ee8056bf2e569

約700ETH被轉移到攻擊者地址當中：https://etherscan.io/address/0xa0c7bd318d69424603cbf91e9969870f21b8ab4c

寫在最后

在CertiK編撰的《2022年第二季度Web3.0安全現狀報告》中，顯示了2022年第二季度Web3.0十大攻擊事件的罪魁禍首正是漏洞惡意利用，其攻擊事件相比其它小分類來說，數量較少，但往往具備更大的破壞性。

本次攻擊事件本可通過審計發現「代碼未遵循最佳實踐」這一風險因素。除了審計之外，CertiK安全團隊建議新增的代碼也需要在上線前及時進行相應測試。

來源：金色財經

Tags：AUDETHTHEHTTSAUDIPEPE價格RETH幣ETHEKingHTT幣

以太坊交易所