ForceDAO 項目 xFORCE 大量增發事件簡析_FOR

撰稿：知道創宇區塊鏈安全實驗室根據社區消息，ForceDAO項目資金庫被黑客攻擊。知道創宇區塊鏈安全實驗室第一時間跟進分析發現，ForceDAO項目資金庫被清空主要是由于其項目xFORCE代幣被大量增發導致。以下為分析詳情，供大家研究。知道創宇區塊鏈安全實驗室分析后發現：用戶在通過ForceProfitSharing合約中調用deposit函數進行充值時，會通過其項目代幣的transferFrom函數將對應數量的FORCE代幣充值進ForceProfitSharing合約，如下圖所示：

Forward Protocol完成120萬美元種子輪和私募融資，AU21等參投:12月9日消息，Web 3.0基礎設施開發商Forward Protocol完成120萬美元種子輪和私募融資，Bitcoin.com、CVVC、AU21、X21、GDA Capital、MEXC、Stakez Capital、Magnus Capital、MarketAcross、Basics Capital、CRT Capital、Polygon Studios、Master Ventures、BlackDragon、Tokenova、Lotus Capital、NFT Technologies、Darkpool Capital、Octopus Capital、ZBS Capital、IBC Group、Polygon Syndicate 、Oracles Investment Group、Marathon Capital、Cuan Ventures、Ardura Capital、Utopian Capital、Polygon等參投。Forward Protocol愿景是為價值驅動型經濟構建Web 3.0工具包。（Daily Coin）[2021/12/9 13:01:18]

Force DAO官方：已了解xFORCE合約漏洞，將公布后續行動:官方消息，DeFi量化對沖基金Force DAO表示，團隊了解xFORCE合約漏洞，并確定了問題的本質。xFORCE合約上沒有更多的資金可供利用。所有其他的資金庫都是安全的。團隊將在未來幾個小時內提供報告和下一步行動。[2021/4/4 19:45:29]

通過分析其FORCE代幣合約發現其transferFrom函數實現存在假充值風險，即使用if…else寫法來進行條件判斷，如下圖所示：代幣合約地址：https://etherscan.io/address/0x6807d7f7df53b7739f6438eabd40ab8c262c0aa8#code

日本金融科技創企Money Forward宣布將合作推出“虛擬貨幣申報支持計劃”:日本金融科技創企Money Forward2月2日宣布與Aerial Partners公司合作推出“虛擬貨幣申報支持計劃”，以支持虛擬貨幣的納稅申報，受理期限為2月2日至15日。該計劃提供支持注冊虛擬貨幣稅務會計師在虛擬貨幣交易目標回報計算、文件準備、申報表格準備等方面的服務。[2018/2/2]

transferFrom函數實際調用doTransfer函數進行代幣轉賬，該函數中轉賬條件未使用硬判斷，返回false導致實際轉賬條件不滿足時，代幣并未被實際轉賬進入ForceProfitSharing合約，從而導致xFORCE代幣被大量鑄幣。

創宇區塊鏈安全實驗室發現，從該鏈接開始，xFORCE合約的_totalSupply變量狀態開始出現交易異常：

最終導致如下圖所示的異常鑄幣數量：

創宇區塊鏈安全實驗室再次警惕項目方進行代幣合約開發時，使用正確的代幣轉賬邏輯，謹防假充值攻擊帶來的異常程序執行。知道創宇唯一指定存證平臺：www.attest.im聯系我們：blockchain@knownsec.com知道創宇區塊鏈安全實驗室導航微信公眾號@創宇區塊鏈安全實驗室

微博@知道創宇區塊鏈實驗室https://weibo.com/BlockchainLab知乎@知道創宇區塊鏈安全實驗室https://www.zhihu.com/org/zhi-dao-chuang-yu-qu-kuai-lian-an-quan-shi-yan-shiTwitter@KS_Blockchainhttps://twitter.com/KS_Blockchain

Tags：FORORCFORCETALDeFi Forgedforce幣最新消息FORCE幣Oort Digital

NEAR