NDAO:Titano Finance攻擊事件分析

Author：

Time：1900/1/1 0:00:00

前言

北京時間2022年2月14日晚，TitanoFinance遭到攻擊，損失3200萬TITANO代幣。知道創宇區塊鏈安全實驗室?第一時間跟蹤本次事件并分析。

分析

基礎分析

攻擊者地址：0xad9217e427ed9df8a89e582601a8614fd4f74563

美國憲法副本拍賣失敗后，ConstitutionDAO成員或無法獲得全額退款:11月22日消息，美國憲法副本拍賣失敗后，ConstitutionDAO成員或無法獲得全額退款。根據此前披露的消息顯示，ConstitutionDAO為拍賣籌集了超過 4500 萬美元，一些成員要求退款，然而，許多剛接觸以太坊生態系統的捐贈者沒有意識到，該網絡的高昂gas費用意味著他們捐贈金額無法被全額退回ConstitutionDAO的Discord社區中已經有人提出不想支付退款的gas費用。此外，ConstitutionDAO還宣布任命兩位新的組織領導者，分別是去中心化自治組織核心貢獻者 Brian Wagner和Web 3愛好者Liminal Warmth，目前尚不清楚這兩位新領導者將如何解決ConstitutionDAO退款問題。[2021/11/22 22:08:15]

攻擊者創建合約MultipleWinnersProxyFactory：0x940151f5bbbcda5b1b482592d816e96f80d6073a

Synthetix正式發布Biotite產品新功能:Synthetix正式發布Biotite產品，其中，包括新的Synth圖標，通過與Synthetix協議的巧妙結合，可以讓用戶更清楚了解每個Synth資產所代表的含義，每一個合成資產圖標上，綠色代表多頭頭寸，紅色代表空頭頭寸；另一個新功能是Mintr中的清算警報，該功能將提醒所有質押者當前的清算比率，以及如果該比率降低至200%以下，則會出現紅色條幅提醒。[2020/10/9]

攻擊者創建合約MultipleWinnersBuilder：0x1866207c355d4c6e0b03b4dc0bf9c658f4d13f8a

Ownum子公司CHAMPtitles完成500萬美元融資:區塊鏈科技公司Ownum旗下子公司CHAMPtitles已完成500萬美元的新一輪融資。據悉，該公司的主要業務方向為將車輛所有權進行數字化。（Crain's Cleveland Business）[2020/4/9]

攻擊者創建合約MultipleWinners：0x49d078d25b08f2731cbf5af8e8cdf1ea3e0a2046

官方合約StakePrizePool：0x4d7f0a96967dce1e36dd2fbb131625bbd9106442

漏洞分析

此次事件，漏洞關鍵在于官方StakePrizePool合約中的setPrizeStrategy方法被攻擊者所利用，但該方法只有管理員才有權限進行操作。

隨后攻擊者將合約中的_prizeStrategy地址設置為攻擊者創造的合約MultipleWinners的地址

獲得權限后，攻擊者使用MultipleWinners合約中的_awardTickets方法鑄造了3200萬TicketTitano代幣到攻擊者地址

攻擊者獲取代幣后，將代幣進行轉換，最終通過PancakeSwap將其轉換為BNB，隨后分散資金到各個地址

總結

本次攻擊事件核心原因在于官方StakePrizePool合約中的僅管理員調用方法被惡意利用，成因或許是項目方管理地址泄露，也可能是掌握管理員私鑰的人監守自盜。

近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。