本文来自BlockSec，Odaily星球日报经授权转载。8月12日，根据DAOMaker电报群用户反馈，该项目疑似遭到黑客攻击，价值700万美元的USDC被黑客提取至未知地址。BlockSec团队经过分析后发现，该事件的起因是私钥泄露或者内部人士所为。攻击过程
根据我们的交易分析系统我们发现，攻击的过程非常简单。攻击交易的hash是：0x26aa86261c834e837f6be93b2d589724ed5ae644bc8f4b8af2207e6bd70828f9涉及到的地址：0x41b856701bb8c24cece2af10651bfafebb57cf49：受害者钱包；0x1c93290202424902a5e708b95f4ba23a3f2f3cee：XXX，攻击者合约；0x0eba461d9829c4e464a68d4857350476cfb6f559：中间人；0x054e71d5f096a0761dba7dbe5cec5e2bf898971c：受害合约创建者。
美国国会研究人员：立法者需考虑数字货币立法将如何影响美元:金色财经报道，美国国会研究服务局在其题为“美元作为世界主要储备货币”的报告中称，不断增长的加密货币空间的影响并没有引起任何与美元地位有关的重大担忧。报告承认，尽管“加密货币仍然是一个小而动荡的利基市场”，但中央银行数字货币（CBDC）正在兴起。报告指出，迄今为止，尚无证据表明美元已脱离主要储备货币。但是，国会不妨考虑一下包括制裁和数字货币在内的一系列政策领域的立法将如何影响美元。[2020/12/22 16:03:19]
声音 | 前FDIC主席：对Libra有些担忧 不知道其如何利用获得的资 金:据CCN消息，前联邦存款保险公司（FDIC）主席Sheila Bair在接受CNBC采访时对Libra提出了一些担忧，“如果我给他们一些钱去买Libra，他们会用这些钱做什么？他们在白皮书中对此有点模糊……抵押品的实力是我会问的一个问题。”尽管Libra声称自己是未来的稳定币，但尚不清楚Facebook将如何利用其外汇储备管理投资。 Bair后来重申了她关于美联储支持的加密货币的想法，然而，这一想法并没有实现。政府通常对新技术的吸收很慢，但如果成功的话，Libra可能会改变这一切。[2019/6/19]
攻击者XXX调用受害者钱包合约的函数查询用户余额，然后调用withdrawFromUser将钱转到自己的账户。攻击完成。由于转账的操作是一个特权操作，因此通常需要对调用者的身份做校验。我们通过分析发现，攻击者确实具有相应的权限来将受害者钱包中的余额转出。这里的问题就变成为什么攻击者能具有相应的权限？通过进一步分析我们发现另外一笔交易。这一笔交易将攻击者赋予具有转账的权限。交易trace如下：0x2fba930502d27f9c9a2f2b9337a0149534dda7527029645752b2a6507ca6b0d6。
动态 | 美国大学不知如何处理所得数字货币捐款:据Cryptoticker消息，美国大学处于数字资产捐赠的接收端，每年以比特币和其他数字资产形式接受捐赠的美国大学名单继续增长。然而，似乎并非所有大学都非常热衷于接受不熟悉的资产作为捐赠，许多大学都不清楚如何处理他们所获得的数字货币资金。[2018/10/18]
0x0eba461d9829c4e464a68d4857350476cfb6f559调用受害者合约的grantRole函数将攻击者0x1c93赋予具有转账的权限。但是能调用grantRole赋予其他账户权限，那么0x0eba4必须具有admin的权限。那么他的admin权限是谁授予的呢？继续追踪，我们发现它的admin权限是由另外一笔交易完成的：0x41b856701bb8c24cece2af10651bfafebb57cf49。
美国商品期货交易委员会公布关于如何定义加密货币已经交易完成的解释: 美国商品期货交易委员会（CFTC）已经公布了解释说明，关于如何定义加密货币已经从买方“交付”给了卖方。确认交付已经完成的的两个因素是：1. 客户有能力 （i）拥有和控制全部数量的商品，无论是以保证金，还是使用杠杆或其他融资购买，以及（ii）在交易之日起28内，自由地商业使用商品（在任何特定平台内外）；以及2. 报价人及卖方（包括各自的关联方或与报价人或卖家合作的其他人士）不保留任何利益或控制任何以保证金，杠杆或其他融资方式购买的商品，在超过自交易日期起计28日后。据CFTC称，提议的解释不是最终的，需要经过90天的公众评议期。[2017/12/16]
0x054e71d5f096a0761dba7dbe5cec5e2bf898971c账户将0x0eba461d9829c4e464a68d4857350476cfb6f559账户设置成受害合约的admin。然而我们发现，受害合约是由0x054e71d5f096a0761dba7dbe5cec5e2bf898971c创建的。
总结一下，整个的流程是：
那问题就来了，为什么部署受害者合约的0x054e最后间接赋予了攻击者能转账的特殊权限呢？这里有两个可能性。第一个0x054e是内鬼，第二个就是私钥泄露。其他
另外一个有趣的点就是攻击者的合约是开源的，代码简单易懂，可以作为学习合约开发的启蒙教程。
但是受害者的合约代码是不开源的。这有点匪夷所思。不开源的钱包也有人敢用？最后
最近区块链安全接连出现大的安全事件，包括PopsicleFinance双花攻击分析和PolyNetwork攻击关键步骤深度解析，损失在几百万美金到数亿美金之间。项目方如何提高安全意识，保护好代码安全和资产安全，正是BlockSec团队希望和社区一起能解决的问题。只有把安全做好，DeFi的生态才能更健康有序发展。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。