摘要:本次攻击原因很可能是现任管理员密钥被盗取，SharkTeam提醒您类似授权的关键函数应该更多的使用多签技术，避免单点攻击风险。北京时间8月12日，DAOMaker遭到黑客攻击，大量用户充值的USDC被转出并换成约2261个以太坊，损失超过700万美元。
SharkTeam第一时间对此事件进行了攻击分析和技术分析，并总结了安全防范手段，希望后续的区块链项目可以引以为戒，共筑区块链行业的安全防线。一、事件分析通过查看攻击者交易情况发现攻击者共发动了18次攻击对5252名用户攻击。
Gitcoin已重新拿回官方X账户的访问权限:9月9日消息，经Gitcoin基金会执行理事Kyle确认，Gitcoin现已重新拿回官方X账户（原Twitter）的访问权限。在官方随后发布的事件详情中，Gitcoin表示仍不知盗用者是如何绕过2FA验证的，但会继续就此进行调查，未来将实施更严格的安全措施。
此前在9月1日，社区发现Gitcoin的官方X账户疑似被盗，盗用者曾利用该账户发布过一些钓鱼信息。[2023/9/9 13:28:36]
DAOMakerExploiter1：0xd8428836ed2a36bd67cd5b157b50813b30208f50DAOMakerExploiter2：0xef9427bf15783fb8e6885f9b5f5da1fba66ef931攻击合约XXX：0x1c93290202424902a5e708b95f4ba23a3f2f3ceeDAOMaker钱包地址：0x41B856701BB8c24CEcE2Af10651BfAfEbb57cf49DAOMaker部署者地址：0x054e71D5f096a0761dba7dBe5cEC5E2Bf898971cDAOMaker管理员地址：0x0eba461d9829c4e464a68d4857350476cfb6f559我们以其中的一次攻击进行分析，其他的都是一样的攻击方式。
Raydium流动性池遭攻击，初步判断为所有者权限被攻击者取代:12月16日消息，据Nansen Portfolio监测，Raydium流动性池遭攻击，已被抽取超 220 万美元 LP 资金，包括 160 万美元 SOL。
对此，Raydium表示，正在调查影响流动性资金池的Raydium漏洞，初步判断是所有者权限被攻击者取代，但目前AMM和挖矿程序的权限已停止。[2022/12/17 21:49:41]
通过交易记录发现，DAOMakerExploiter1使用攻击合约XXX的h()函数发起交易，将350名用户的USDC通过钱包地址转给攻击合约XXX后转给DAOMakerExploiter1，这350名受害者地址以数组的形式传入交易的inputdata。
SpiritSwap：用户需要撤销当前的inSPIRIT合约权限，但资金没有风险:金色财经消息，Fantom生态去中心化交易协议SpiritSwap发推表示，inSPIRIT合约出现问题，因此需要用户撤销当前的inSPIRIT合约权限，但用户资金没有风险。[2022/3/16 14:00:11]
对受害者合约的0x50b158e4(withdrawFromUser)函数反编译结果如下：
动态 | “权限链”风险或将成为资管业务发展的障碍:据TokenInsight通过BTC链上数据整合属于QuadrigaCX的钱包地址发现，其在2015年之前使用的为单签名机制地址，多签名机制的合成地址在2015年后使用至今。目前多签名机制在中心化交易所使用并不普遍。而本次QuadrigaCX由于创始人意外去世致使冷钱包丢失的事件属于钱包安全风险里的“权限链”风险，该风险广泛存在于中心化钱包中，极有可能在2019年成为中心化资管业务发展的障碍。另外，TokenInsight通过特征比对已经发现疑似QuadrigaCX的BTC冷钱包，该钱包目前BTC余额约为2.7万枚，与之前在网上曝出的QuadrigaCX的BTC冷钱包余额26,488的数量基本吻合。[2019/2/5]
可以看到只有msg.sender即：攻击合约XXX拥有权限方可转账成功。查看历史交易可以发现：122天前合约部署人给现任管理员授权；
而后，一天前现任管理员创建攻击合约XXX。
现任管理员给攻击合约XXX授权。
随后DAOMakerExploiter1调用攻击合约XXX发起攻击获得大量USDC，将其转换为ETH后转账给DAOMakerExploiter2。可以确定至少在一天之前DAOMakerExploiter1和现任管理员是同一个人在操作！！！攻击者获得现任管理员的控制权；?管理员创建了攻击合约XXX并对其授权；DAOMakerExploiter1调用攻击合约XXX获利。因此，本次攻击原因很可能是现任管理员密钥被盗取，SharkTeam提醒您类似授权的关键函数应该更多的使用多签技术，避免单点攻击风险。二、安全建议SharkTeam提醒您，在涉足区块链项目时请提高警惕，选择更稳定、更安全，且经过完备多轮审计的公链和项目，切不可将您的资产置于风险之中，沦为黑客的提款机。而作为项目方，智能合约安全关系用户的财产安全，至关重要！区块链项目开发者应与专业的安全审计公司合作，进行多轮审计，避免合约中的状态和计算错误，为用户的数字资产安全和项目本身安全提供保障。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。