巴比特讯，据慢雾区情报，DAOMaker的Vesting合约遭到黑客攻击。DeRaceToken(DERC)，Coinspaid(CPD)，CapsuleCoin(CAPS)，ShowcaseToken(SHO)都使用了DaoMaker的分发系统，在DAOMaker中进行持有者发行时因DAOMaker合约被攻击，即SHO参与者的分发系统中出现了一个漏洞：init未初始化保护，攻击者初始化了init的关键参数，同时变更了owner，然后通过emergencyExit将目标代币盗走，并兑换成了DAI，攻击者最终获利近400万美金。
慢雾：过去一周Web3生态系统因安全事件损失近160万美元:6月26日消息，慢雾发推称，过去一周Web3生态系统因安全事件损失近160万美元，包括MidasCapital、Ara、VPANDADAO、Shido、Slingshot、IPO、Astaria。[2023/6/26 22:00:21]
黑客利用Vesting合约中的漏洞，将Vesting合约中的代币提走，如下是简要分析：
慢雾：去中心化期权协议Acutus的ACOWriter合约存在外部调用风险:据慢雾区消息，2022年3月29日，Acutus的ACOWriter合约遭受攻击，其中_sellACOTokens函数中外部调用用到的_exchange和exchangeData参数均为外部可控，攻击者可以通过此漏洞进行任意外部调用。目前攻击者利用该手法已经盗取了部分授权过该合约的用户的资产约72.6万美金。慢雾安全团队提醒使用过该合约的用户请迅速取消对该合约的授权以规避资产被盗风险。[2022/3/29 14:25:07]
对Vesting合约的实现合约0xf17ca0e0f24a5fa27944275fa0cedec24fbf8ee2进行反编译得到如下信息：
慢雾：Let's Encrypt软件Bug导致3月4日吊销 300 万个证书:Let's Encrypt由于在后端代码中出现了一个错误，Let's Encrypt项目将在撤销超过300万个TLS证书。详情是该错误影响了Boulder，Let's Encrypt项目使用该服务器软件在发行TLS证书之前验证用户及其域。慢雾安全团队提醒：数字货币行业有不少站点或内部系统为安全目的而使用 Let's Encrypt 自签证书，请及时确认是否受到影响。如有影响请及时更新证书，以免造成不可预知的风险。用户可查看原文链接在线验证证书是否受到影响。[2020/3/4]
1.Vesting合约中的init函数(函数签名：0x84304ad7)，没有对调用者进行鉴权，黑客通过执行init函数成为Vesting合约的Owner。
2.Owner可以执行Vesting合约中的emergencyExit函数，进行紧急提款。
利用同样的手法其攻击其他Vesting合约，转移如下代币：DeRaceToken(DERC)、Coinspaid(CPD)、CapsuleCoin(CAPS)、ShowcaseToken(SHO)。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。