8月10日，去中心化年金协议?PunkProtocol遭到攻击，损失890万美元，后来团队又找回了495万美元。
SharkTeam第一时间对此事件进行了攻击分析和技术分析，攻击原因在于投资策略中找到了一个关键漏洞：CompoundModel代码中缺少初始化函数的修饰符的问题，可以被重复初始化。希望后续的区块链项目可以引以为戒，共筑区块链行业的安全防线。
一、事件分析
黑客1的两笔攻击交易：
0x7604c7dd6e9bcdba8bac277f1f8e7c1e4c6bb57afd4ddf6a16f629e8495a0281
动态 | 欧洲一家机场50%的计算机系统感染Monero挖矿恶意软件:欧洲一家国际机场的计算机系统中有超过50%被发现感染了Monero加密挖矿软件。该加密劫持攻击由Cyberbit团队发现。他们表示，尽管所有工作站都配备了行业标准的防病软件，但在安装Cyberbit EDR前，该恶意软件可能已经使用了数月。幸运的是，除了影响受感染系统的整体性能并导致功耗增加之外，并没有影响机场的运营。（bleepingcomputer）[2019/10/18]
0xa76cd31bcd48869621e7f2698ac8754699026acd0655a6d33280224dabed4cfa
动态 | 全球5万台服务器感染隐私币加密劫持恶意软件:据cointelegraph报道，国际黑客和网络安全专家组Guardicore Labs在5月29日的分析中透露，在过去四个月内，全球多达5万台Windows MS-SQL和PHPMyAdmin服务器感染了一种先进的加密劫持恶意软件，该恶意软件会挖掘以隐私为重点的开源加密货币turtlecoin（TRTL）。分析人员回应了2月底的袭击事件，并指出该软件急剧扩张，每天有超过700多名新受害者。据报道，在4月13日至5月13日期间，受感染服务器的数量翻了一番，达到47985台。Guardicore Labs指出，该恶意软件的活动并非典型的加密攻击，因为它依赖于高级持续性威胁团体中常见的技术，包括虚假证书和权限提升漏洞。[2019/5/30]
黑客2的两笔攻击交易
0x597d11c05563611cb4ad4ed4c57ca53bbe3b7d3fefc37d1ef0724ad58904742b
动态 | 研究：新加密恶意软件可窃取Apple Mac OS等客户信息:据fortune报道，Palo Alto Networks的网络安全研究人员今日发布研究报告称，发现一款影响Apple Mac OS或操作系统的新加密恶意软件CookieMiner，其疑似安全公司Malw??arebytes 在去年12月发现的OSX.DarthMiner恶意软件的变种。研究人员提示，如果用户在加密货币交易所查看比特币价格时，请确保删除其cookie。如果不这样做，可能会导致个人数据（如密码、信用卡信息和保存的iPhone文本消息）被黑客窃取。[2019/2/1]
0x4c8072a57869a908688795356777270a77f56ae47d8f1d869be0d25e807e03b1
声音 | 慢雾科技联合创始人：如果算上恶意挖矿 门罗币是暗网第一币王:慢雾科技联合创始人余弦发微博表示：如果只是支付和结算，门罗币是暗网第二大数字货币，如果加上恶意挖矿这类黑暗生态，门罗币是暗网第一币王。 ????之后有网友评论称，“门罗社区也在努力区分恶意的僵尸挖矿。前一阵好像有做过一个帮助用户区别自己是否被木马程序植入挖矿的软件。注重隐私并不代表门罗币社区鼓励你使用门罗币进行违法活动。”余弦回复表示同意。[2018/12/9]
黑客2的攻击合约地址：
0x00000000b2ff98680adaf8a3e382176bbfc34c8f
黑客2的地址：
0x3aa27ab297a3a753f79c5497569ba2dacc2bc35a
0xe36cc0432619247ab12f1cdd19bb3e7a24a7f47c
黑客2退回的两笔交易地址：
0xc977ea434d083ac52f9cad00417bcffb866b894a5cbabf1cc7af9c00e78b8198
0xa85ce7d9d0882b858bf3dbc8f64b72ff05f5399ec3d78d32cea82e6795ccc7ce
下面以黑客1正式攻击交易为例
黑客的攻击执行了delegateCall，将攻击者的合约地址写入到compoundModel中initialize函的forge_参数。setForge(address)函数在初始化函数中执行。这是一个修改Forge地址的功能。
然后，它执行withdrawToForge函数并将所有资金发送到攻击者的合约。
随后在调用initialize函数发现forge_参数已经被替换成攻击者合约的地址。
链接到forge_的所有CompoundModel都使用相同的代码，因此所有资产都转移到攻击者的合约中。目前，导致黑客入侵的代码已被项目方修补。添加了两个Modifiers，这样只有ContractCreator可以调用Initialize函数并控制它只被调用一次。
二、安全建议
本次攻击的根本原因在于CompoundModel合约中缺少对初始化函数的安全控制，可以被重复初始化。初始化函数应只能调用一次，而且需要进行调用者权限鉴别；如果合约是使用初始化函数，而不是在构造函数中进行初始化，则应使用安全合约库中的初始化器来进行初始化。避免合约被恶意操纵，造成合约关键参数和逻辑的错误。
SharkTeam提醒您，在涉足区块链项目时请提高警惕，选择更稳定、更安全，且经过完备多轮审计的公链和项目，切不可将您的资产置于风险之中，沦为黑客的提款机。而作为项目方，智能合约安全关系用户的财产安全，至关重要！区块链项目开发者应与专业的安全审计公司合作，进行多轮审计，避免合约中的状态和计算错误，为用户的数字资产安全和项目本身安全提供保障。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。