2021年08月12日，据慢雾区消息，加密孵化机构DAOMaker疑似遭受黑客攻击，导致合约大量USDC被转出。慢雾安全团队第一时间介入分析，并将分析结果分享如下。??
攻击对象
在本次攻击中，攻击者部署并开源了一个攻击合约(0x1c)用于快速批量的从DAOMaker受害合约(0x41)中窃取资金。
攻击者地址1：
0xd8428836ed2a36bd67cd5b157b50813b30208f50
攻击者地址2：
0xef9427bf15783fb8e6885f9b5f5da1fba66ef931
攻击合约：
0x1c93290202424902a5e708b95f4ba23a3f2f3cee
陈玄策：一级市场的疯狂洗牌等原因导致GBTC持续负溢价:金色财经报道，在6月4日举办的《金色百家谈 | 分析：灰度BTC信托溢价率对加密市场的影响》直播节目中，AOFEX战略合作学院-K神学院院长陈玄策表示，灰度BTC信托溢价率持续保持负值有两方面的原因：
一是市面上出现更多的信托机构产生了竞争（锁仓期到期调仓所致）；
二是一级市场的疯狂洗牌。由于比特币出现多次下跌回调，恐慌情绪加剧导致数百亿美元加密资产爆仓清算，使得套利空间不断缩水，进而引发GBTC到期解锁流出巨额资金，不再产生正反馈继续买入GBTC份额。
本轮牛市主导力量来源于机构，在多重原因（全球疫情下大环境导致的通货膨胀考虑货币贬值原因，对冲，风险分散投资，套利空间...）中，考虑购入GBTC获得套利才是最重要的原因，一旦一级市场不支持牛市的上涨，二级市场就不具备溢价的条件。而在当前大环境影响下并不具备牛市中后期走势爆发，这应该还将持续一段时间，除非出现重大利好如美国SEC允许数字货币ETF在二级股票市场发行。[2021/6/4 23:12:41]
DAOMaker受害合约：
新华社：百倍杠杆！疯狂的币圈带来“暴富”还是“爆仓”？:5月29日晚，新华社发布题为《百倍杠杆！疯狂的“币圈”带来“暴富”还是“爆仓”？》的文章，再次对虚拟货币表示关注。这是新华社在两天内第3次发问虚拟货币。
文章表示，让众多投资者一夜之间账面清零的背后，是“币圈”的期货合约交易。近年来，除了现货交易，期货合约交易逐步成为虚拟货币交易的重要衍生品。此类合约具有双向交易、高杠杆等特征。从表面上看，此类合约可以对冲风险，但更多投资者把其视为“一夜暴富”的工具。因为，加杠杆后，随着“币值”涨跌，收益也会成倍变化。虚拟货币的交易风险远不止价格剧烈波动，在交易炒作的背后还常常伴随着“庄家”操纵市场价格。业内人士表示，虚拟货币交易没有实物依托，价格容易被操纵。尤其是不少“空气币”发行技术模糊，发行上限不确定，存在巨量持有者，极易被“庄家”操纵价格。高杠杆下的爆仓，众多投资者两手空空血本无归，虚拟货币交易平台却在其中稳赚收益。
此前消息，5月28日晚，新华社发布了《1万台“矿机”一个月能“吃”4500万度电！挖的是“币”还是“坑”？》，就比特币“挖矿”带来的巨大能源损耗提出质疑。29日中午，新华社发布《加密货币，是金融创新还是“庞氏局”?》，再次就比特币等虚拟货币发问。[2021/5/30 22:55:57]
0x41B856701BB8c24CEcE2Af10651BfAfEbb57cf49
声音 | 权利组织EFF和ORG：和加密立法可能会伤害开源生态系统，反对监管隐私币:据The Register消息，非营利组织电子前沿基金会（EFF）和在线基层组织英国开放权利集团（ORG）回应了英国财政部关于欧盟第五次反指令（5MLD）的咨询，特别是关于发布开源软件是否应遵守客户尽职调查（CDD）要求的建议。 EFF和ORG表示，“我们以前见过这种对开源软件发布的攻击，这些监管提议不仅会对区块链生态系统的新兴技术产生巨大而不可预测的后果，也会对整个FLOSS（免费、自由和开源软件）软件生态系统产生巨大而不可预测的后果。” 两个组织认为，尽管监管加密软件的想法听起来很合理，但这可能会产生意想不到的后果。“此类法规将加重多个行业的负担，以确保它们的软件不会被视为加密计划基础设施的一部分。”它们建议，监管开源软件最好分开进行，而不是在5MLD立法范围内进行。 两个组织也反对监管隐私币，认为这些币是一件好事，“隐私币有潜力通过将公民离线享有的一些保护引入数字世界，从而增强人权。此外，任何区分隐私币和非隐私币的尝试都是有问题的。”[2019/6/12]
DAOMaker受害合约deployer：0x054e71D5f096a0761dba7dBe5cEC5E2Bf898971c
声音 | 李林回应前同事吐槽：当权利不被监管时 “官僚”就会出现:火币创始人李林在朋友圈回应前同事吐槽称：今天的主题，前火币同事吐槽现火币团队:）半年从200人到1100人，管理没有跟上。当人拥有没有监管的权力以后，就会变得“官僚”，这是人性。
Hadax原名为“火币自主数字资产交易所”，正是期望通过社群治理代替团队少数几个权力拥有者的治理机制，尝试交易所运营的透明，公开和社群化。4个月过去了，规则调整了近十个版本，不得不说现在还是不太好。可以说四个月来火币所有的争议和负面都来源于子品牌hadax，而火币pro、火币韩国、火币OTC、火币矿池、火币研究院等子品牌业务线运营非常稳健，成绩非常好。
hadax7月将全新升级，hadax2.0希望能让大家看到一个期望中的社区化运营的交易所。[2018/6/30]
DAOMaker受害合约admin：0x0eba461d9829c4e464a68d4857350476cfb6f559
攻击细节
本次攻击与往常攻击不同的是：DAOMaker受害合约(0x41)未开源，而攻击合约(0x1c)却开源了。
从上图开源的攻击合约以及链上记录我们可以看出：?
1.黑客调用攻击合约(0x1c)的h函数，h函数会循环调用f函数，f函数通过DAOMaker受害合约的0x4b4f892a函数获取普通用户在受害合约(0x41)中的USDC存款数量。
2.函数h接着调用DAOMaker受害合约(0x41)的withdrawFromUser(0x50b158e4)函数，传入用户存款的用户地址、USDC地址与需要提款的数量。
3.随后DAOMaker受害合约(0x41)将合约中的USDC转移至攻击合约中(0x1c)。
通过以上行为分析我们可以发现：攻击合约(0x1c)调用了受害合约(0x41)的?withdrawFromUser函数，受害合约(0x41)就将合约管理的资金直接转给攻击合约(0x1c)。我们直接反编译受害合约(0x41)查看withdrawFromUser函数进行简单分析：
通过反编译的代码我们可以发现，此函数是有进行权限检查的，只有DAOcontracts才能调用此函数转移用户的资金。但攻击合约?(0x1c)明显不是DAO合约，因此其DAO合约必然是被攻击者替换过的。
通过链上分析我们可以清楚的看到：
1.受害合约部署者(0x05)在部署受害合约(0x41)?后于UTC4月12日08:33:45将0x0eba461d9829c4e464a68d4857350476cfb6f559?地址设置为了管理员角色：
TxHash:
0xa1b4fceb671bb70ce154a69c2f4bd6928c11d98cbcfbbff6e5cdab9961bf0e6d
2.随后受害合约部署者(0x05)通过调用revokeRole函数放弃了受害合约(0x41)管理权限：
TxHash:?
0x773613398f08ddce2cc9dcb6501adf4f5f159b4de4e9e2774a559bb1c588c1b8
3.而管理员则在UTC?8月12日01:27:39将DAO合约设置为了攻击合约(0x1c)：
TxHash:?
0x2fba930502d27f9c9a2f2b9337a0149534dda7527029645752b2a6507ca6b0d6
因此攻击者才得以借助此攻击合约(0x1c)将受害合约(0x41)中用户的资金盗走。目前被盗资金被兑换成ETH转移至攻击者地址2(0xef)。
总结
本次攻击可能源于DAOMaker受害合约的管理员私钥泄漏。攻击者窃取私钥后将受害合约的DAO合约替换为了攻击合约，攻击者通过替换后的合约转走了合约中的用户资金。而由于合约部署者在设置完合约管理员后就放弃的合约管理权限，因此目前项目方可能还无法有效的取回合约控制权。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。