BTC/HKD-0.72%
ETH/HKD-0.59%
LTC/HKD-0.35%
DOT/HKD-2.56%
ADA/HKD-2.52%
SOL/HKD-4.55%
XRP/HKD-1.07%
DOGE/US-1.83%8月12日，根據DAO Maker電報群用戶反饋，該項目疑似遭到黑客攻擊，價值700萬美元的USDC被黑客提取至未知地址。團隊經過分析后，發現該事件的起因是私鑰泄露或者內部人士所為。
通過我們的交易分析系統（https://tx.blocksecteam.com）我們發現，攻擊的過程非常簡單。攻擊交易的hash是：
0x26aa86261c834e837f6be93b2d589724ed5ae644bc8f4b8af2207e6bd70828f9
涉及到的地址：
0x41b856701bb8c24cece2af10651bfafebb57cf49: 受害者錢包
Aragon宣布暫時將Aragon DAO更名為Aragon Grants DAO:5月12日消息，Aragon協會發布澄清公告表示： 1. 金庫目前由作為其托管人的 AA（Aragon協會）控制；2. AA 正在逐步將國庫和核心基礎設施轉移到 Aragon DAO 以降低風險；3. 作為非營利組織，AA 有責任確保財政部實現其目標，建立去中心化的治理基礎設施。此外，暫時將 Aragon DAO 更名為 Aragon Grants DAO，向 “無風險價值(RFV)攻擊者”傳達的信息非常明確：從協會發送到 DAO 的任何更多資金都用于建設者。
前天報道，Aragon協會取消ANT代幣持有人投票權，以應對Arca等投資者對其發起的“51%攻擊”。dForce創始人指責Aragon團隊通過“重新調整DAO劫持協議金庫”。[2023/5/12 14:59:44]
0x1c93290202424902a5e708b95f4ba23a3f2f3cee: XXX，攻擊者合約
Rarible于ApeCoin DAO發起提案，擬為APE持有者建立NFT交易市場:8月19日消息，NFT市場Rarible已向ApeCoin DAO提交提案，擬為APE持有者建立定制化的NFT交易市場，并表示該NFT交易市場將不收取任何費用，同時無需DAO的投資。
此前報道，8月10日，Solana生態NFT市場Magic Eden于ApeCoin DAO發起提案，擬為APE持有者建立低費率NFT交易市場，使APE持有者可以以最低0.75%的交易費用買賣NFT。每筆交易將向賣方收取1.5%的費用，并針對APE持有者進行的所有交易提供0.5%的折扣，而對于BAYC、MAYC或BACC持有人進行的交易將再額外享受0.25%的折扣，從而最低為0.75%的凈費用。[2022/8/19 12:35:34]
0x0eba461d9829c4e464a68d4857350476cfb6f559：中間人
IOTA將成立DAO組織并將網絡中無人認領的代幣投入DAO金庫以擴大社區治理:6月14日消息，IOTA社區將成立DAO組織并將網絡中無人認領的IOTA代幣投入DAO金庫以擴大社區治理，大約82%的社區成員投了贊成票。
據悉，目前這些無人認領的IOTA代幣價值約1850萬美元，來源主要有兩個：一個是與2015年12月IOTA的初始眾籌有關，部分早期投資人在主網啟動時沒有領取代幣。另外IOTA在2016年將代幣供應量從9990億增加到2.77萬億，官方設置了交換流程，但仍有少數用戶沒有參與代幣轉換。[2022/6/14 4:25:26]
0x054e71d5f096a0761dba7dbe5cec5e2bf898971c：受害合約創建者（也是攻擊者）
ADOGE發布治理令牌AmazingTeamDAO:據官方消息，MeMe代幣ADOGE將于4月14日20:00宣布進入游戲布局，并發布治理令牌AmazingTeamDAO。[2022/4/14 14:25:05]
攻擊者XXX （0x1c93290202424902a5e708b95f4ba23a3f2f3cee）調用受害者錢包合約(0x41b856701bb8c24cece2af10651bfafebb57cf49)的函數查詢用戶余額，然后調用withdrawFromUser將錢轉到自己的賬戶。攻擊完成。由于轉賬的操作是一個特權操作，因此通常需要對調用者的身份做校驗。我們通過分析發現，攻擊者確實具有相應的權限來將受害者錢包中的余額轉出。
這里的問題就變成為什么攻擊者能具有相應的權限？通過進一步分析我們發現另外一筆交易。這一筆交易將攻擊者賦予具有轉賬的權限。交易trace如下：
0x2fba930502d27f9c9a2f2b9337a0149534dda7527029645752b2a6507ca6b0d6
0x0eba461d9829c4e464a68d4857350476cfb6f559調用受害者合約的grantRole函數將攻擊者0x1c93賦予具有轉賬的權限。但是能調用grantRole賦予其他賬戶權限，那么0x0eba4必須具有admin的權限。那么他的admin權限是誰授予的呢？
繼續追蹤，我們發現它的admin權限是由另外一筆交易完成的。
0x054e71d5f096a0761dba7dbe5cec5e2bf898971c賬戶將0x0eba461d9829c4e464a68d4857350476cfb6f559賬戶設置成受害合約的admin。
然而我們發現，受害合約是由0x054e71d5f096a0761dba7dbe5cec5e2bf898971c創建的。
總結一下，整個的流程是：
那問題就來了，為什么部署受害者合約的0x054e最后間接賦予了攻擊者能轉賬的特殊權限呢？這里有兩個可能性。第一個0x054e是內鬼，第二個就是私鑰泄露。
另外一個有趣的點就是攻擊者的合約是開源的，代碼簡單易懂，可以作為學習合約開發的啟蒙教程。
但是受害者的合約代碼是不開源的。這有點匪夷所思。不開源的錢包也有人敢用？
Tags：DAOGONARAaragonBlackHoleDAOLord of DragonsPARADOX NFT BSCParagon Capital
DAOrayaki DAO研究獎金池：資助地址: 0xCd7da526f5C943126fa9E6f63b7774fA89E88d71投票進展：DAO Committee 4/7 通過賞金總量：.
1900/1/1 0:00:00Tokemak 是什么？Tokemak 是一個去中心化的做市商/流動性提供協議。首先先了解協議的三個重要組成部分：Token Reactors：Tokemak 支持的 Token 庫,每一個資產.
1900/1/1 0:00:00今年隨著Axie的火爆,正式開啟了gamefi的時代,近幾個月來gamefi新項目層出不窮,但大多數項目都要等到年底或是明年才正式開啟.
1900/1/1 0:00:00盡管加密貨幣市場遇冷,但NFT領域卻越來越引人關注。支付寶的螞蟻鏈最新推出了“敦煌飛天”和“伍六七”兩款主題NFT皮膚,基本上發售即秒光,國人對于限量、搶購的消費模式一如既往的毫無抵抗力.
1900/1/1 0:00:00關于CREAM: CREAM Finance（$ CREAM）是基于以太坊的老牌借貸協議,屬于流動資金池類借貸協議,平臺的原生代幣 CREAM.
1900/1/1 0:00:00從 1984 年至 2013 年的 30 年間,橋水基金的「全天候策略（All Weather Srategy）」年化收益率達 9.72%,其中僅有 4 年收益為負,最大回撤為 3.93%.
1900/1/1 0:00:00
以太坊交易所
