首發 | PAID Network攻擊事件還原_PAID

本文由Certik原創，授權金色財經首發。

2021年3月5日，PAIDNetwork遭受了由于私鑰管理不善而引起的"鑄幣"攻擊。

攻擊者使用代理合約私鑰，將原先經過CertiK審計的PAID合約代碼掉包，添加了銷毀和鑄幣的功能函數。

因為PAID代幣已達上限，攻擊者先銷毀了6000萬枚PAID代幣，然后再重新鑄造了59,471,745枚PAID，并通過Uniswap出售。

CertiK團隊第一時間和PAID?Network團隊溝通調查，確認了原代碼并無漏洞，攻擊事件是由私鑰泄露導致的。目前CertiK團隊仍無法確認私鑰泄露的原因，但已經可以將整個攻擊過程還原。

LBank藍貝殼于5月3日20:00首發 CSPR(Casper)，開放USDT交易:據官方公告，5月3日20:00，LBank藍貝殼上線 CSPR(Casper)，開放USDT交易，同時并開放充值，資料顯示，Casper網絡是基于CasperCBC規范構建的第一個實時權益證明區塊鏈。Casper旨在加速當今企業和開發人員對區塊鏈技術的采用，同時確保隨著網絡參與者需求的發展，其在未來仍能保持高性能。[2021/5/3 21:19:51]

PAID事件時間線

2021年3月5日，PAID遭受了持續約30分鐘的攻擊。

動態 | 可信教育數字身份在廣州白云區首發 采用區塊鏈等技術:12月25日，可信教育數字身份(教育卡)廣東省應用試點首發儀式與應用研討在廣州市白云區舉行。

據介紹，可信教育數字身份融合采用國產密碼、區塊鏈等核心技術，創新簽發“云計算、邊緣計算、移動計算”網絡環境下的一體化數字身份，實現一體化密鑰管理，構建“可信教育身份鏈”。（中國新聞網）[2019/12/25]

通過鏈上分析，CertiK團隊總結了攻擊的時間線及操作步驟如下：

第一步：合約所有權被轉移給了攻擊者，此時攻擊者在得到私鑰后就已經完全獲得了代理合約的控制權。

首發 | 《一起來捉妖》中玩家達到22級將會接觸到專屬貓的玩法 ?:今日騰訊上線首款區塊鏈游戲《一起來捉妖》，經金色財經查證，游戲中玩家達到22級將會接觸到專屬貓的玩法，而非此前官方對外宣稱的15級。除了誘貓鈴鐺召喚出的0代貓以及部分通過運營活動獎勵的專屬貓以外，游戲中所有的貓默認都是未上鏈狀態。未上鏈的貓不能出售，也無法進入市場與其他玩家配對；但是你可以使用這些貓與你的QQ/微信好友進行配對，產出新的小貓。使用道具“天書筆”可以將你的貓記錄到區塊鏈。當貓被記錄到區塊鏈以后，這些貓就可以進入市場，通過配對賺取點券，或者出售賺取點券。專屬貓是否上鏈，并不影響它的增益效果。但只有上鏈后，它才能面對全服務器所有的玩家進行繁殖、交易。

?

《一起來捉妖》中的專屬貓玩法，基于騰訊區塊鏈技術，游戲中的虛擬數字資產得到有效保護。此外，基于騰訊區塊鏈技術，貓也可以自由繁殖，并且運用區塊鏈技術存儲、永不消失。[2019/4/11]

第二步：攻擊者利用代理更新合約，添加了銷毀和鑄幣的功能函數。

第三步：攻擊者銷毀了6000萬枚PAID，留出鑄幣空間。

第四步：攻擊者開始鑄幣，并向Uniswap傾銷PAID代幣以換取以太幣。

最后，本次事件并沒有攻擊智能合約的代碼本身，而是通過某種渠道獲得了代理合約的私鑰。

CertiK在審計報告中的PTN-10章節提出了:AmbiguousFunctionality以及其他章節強調了PAID合約中心化的問題。

總結

2021年3月5日，攻擊者獲得PAID代理合約私鑰，替換原有代碼，添加了銷毀和鑄幣的功能函數。

攻擊者之后銷毀了6000萬枚PAID代幣，留出鑄幣空間。

最后，鑄造了59,471,745枚PAID，并通過Uniswap出售了2,401,203枚代幣。

客觀來看，本次攻擊事件中攻擊者并沒有找到任何原合約的漏洞，而是直接獲得了代理合約私鑰。

當合約的可升級性作為項目的預期功能而存在時，它在智能合約中確實有其存在的價值。

而這種類型的功能要求合約所有者以及部署者在確保代碼基本安全的同時，同樣必須保證私鑰的安全。

CertiK將會在未來更多地強調并關注中心化及私鑰保護等相關問題。

復制下方鏈接至瀏覽器，查看CertiK于2021年1月24日為PAIDNetwork出具的審計報告：

https://certik.org/projects/paidnetwork

Tags：PAIAIDPAID區塊鏈PAID幣aidoge幣有銷毀嗎paid幣官方最新消息區塊鏈幣圈

波場