百密一疏：Force DAO假充值攻擊事件分析_FOR

摘要:ForceDAO假充值攻擊事件分析北京時間2021年4月4日，區塊鏈項目?ForceDAO?發推提醒用戶稱「請停止在?Sushiswap?和?Uniswap?上的所有交易。」此前，FORCE?代幣被大量增發，ForceDAO?表示「團隊已意識到?xFORCE?合約漏洞，并確定了問題。xFORCE?合約上沒有更多的資金可供利用。團隊將在未來幾個小時內提供報告和下一步行動。」

ApeCoin DAO發起新提案AIP-274擬為支持項目提供專屬徽標:金色財經報道，ApeCoin DAO發起新提案AIP-274擬為支持項目提供專屬徽標，旨在通過明顯標記和認可專門與ApeCoin合作的舉措以提高ApeCoin 的實用性和認可度，據悉該提案給出了由 ApeCoin 提供支持的四個不同徽標，獲得支持的生態項目可以使用這些徽標來展示與ApeCoin目標一致性，增強在生態系統中的認知和使用并鼓勵更多平臺采用 ApeCoin。根據Snapshot數據顯示，該提案已開啟投票并將于7月6日結束，當前贊成票比例達到99.97%。[2023/7/2 22:13:34]

400

BAYC打擊Dookey Dash游戲作弊玩家:2月8日消息，“無聊猿”BAYC發布推文稱，為了保證Dookey Dash游戲的公平性，已經將通過作弊獲得的分數從排行榜上刪除；在最終鎖定排行榜之前，作弊玩家仍然可以繼續游戲獲得合法分數。

據了解，Dookey Dash將于北京時間2月9日7:00關閉，屆時將鎖定并開始驗證分數，目前排名第一的玩家總計獲得92.85萬分。[2023/2/8 11:55:18]

ConsenSys宣布創建以太坊氣候平臺 (ECP):金色財經報道，ConsenSys和Allinfra召集的一組Web3公司與民間社會領袖以及UNFCCC氣候創新中心一起宣布創建以太坊氣候平臺 (ECP)。

這些項目將減少溫室氣體排放并在未來很長一段時間內產生積極的環境和社會影響。平臺啟動團隊的創始成員包括：AAVE、Art Blocks、Celo、CodeGreen.Org、Enterprise Ethereum Alliance (EEA)、ERM、Filecoin Green、Gitcoin、全球區塊鏈商業委員會 (GBBC)、Huobi Global、Laser Digital (Nomura) 、Microsoft、Polygon、The Climate Collective、UPC Capital Ventures 和 W3bcloud，與 Gold Standard 合作。[2022/11/18 13:19:04]

SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。

Matrixport：市場波動中某些客戶遭到清算，不影響平臺償付能力:6月17日消息，數字資產金融服務平臺 Matrixport 發布聲明稱，由于 Celsius 與 Three Arrows Capital 業務問題影響市場，在過去幾天巨大市場波動中，有某些客戶遭到清算，但不影響平臺的償付能力，運營一切正常。未來將對生態系統持續進行戰略投資。[2022/6/17 4:35:09]

一、攻擊分析

通過初步分析，ForceDAO合約中的漏洞主要在xFORCE合約代碼ForceProfitSharing.sol上。該漏洞令所有人都可以在沒有FORCE的時候，鑄造xFORCE。然后再將新鑄造的xFORCE交換為FORCE。代碼分析如下：合約地址為：0xe7f445b93eb9cdabfe76541cc43ff8de930a58e6首先看一下出問題的xFORCE鑄幣代碼：

可以看到合約在幫用戶鑄造xFORCE之后，然后將FORCE通過force.?transferFrom扣除用戶的FORCE。但是并沒有判斷這個函數是否執行成功。我們繼續查看FORCE合約中的transferFrom：合約地址：0xd017D2403d779A31e1fA2261e0D3997bCACad851

在這個合約中只判斷了用戶的額度，當額度不足時返回false,由于xFORCE的合約中沒有做執行結果的判定，所以無論用戶賬戶中是否有足夠的額度，都會鑄幣成功。所以額度不足的用戶會憑空得到一大筆xFORCE，而后再使用xFORCE的withdraw函數，就可以使用剛剛憑空得到的xFORCE來兌換合約中的FORCE。從而導致資金損失。

這個是其中一個攻擊者的錢包地址：0x6807d7f7df53b7739f6438eabd40ab8c262c0aa8交易地址：0x37b44d5dbbe9c1dd75223e15977153234e8a4dbbbab2495cdcc531f44bf6e3d0

而后通過withdraw將得到的xFORCE轉換為FORCE

二、SharkTeam安全建議

在本次攻擊事件中，主要原因在于外部合約?xForce?在調用代幣轉讓時未嚴格判斷其返回值，導致用戶可以隨意鑄幣的情況發生。該漏洞是典型的“假充值”的合約漏洞，可以在關鍵邏輯上增加權限控制，在項目上線之前請專業的智能合約審計機構進行嚴格的審計，保障智能合約和數字資產安全。

Tags：FORFORCEORCCOINInnitForTheTECHMoonForceorc幣現在價格BEAR Coin

萊特幣