链捕手消息，2022年3月10日,BSC链上的DOD项目中锁定的BUSD代币被非预期的取出，慢雾安全团队进行分析如下：
1.DOD项目使用了一种特定的锁仓机制，当DOD合约中BUSD数量大于99,999,000或DOD销毁数量超过99,999,000,000,000或DOD总供应量低于1,000,000,000时将触发DOD合约解锁，若不满足以上条件，DOD合约也将在五年后自动解锁。DOD合约解锁后的情况下，用户向DOD合约中转入指定数量的DOD代币后将获取该数量1/10的BUSD代币，即转入的DOD代币数量越多获得的BUSD也越多。
慢雾：Poly Network再次遭遇黑客攻击，黑客已获利价值超439万美元的主流资产:金色财经报道，据慢雾区情报，Poly Network再次遭遇黑客攻击。分析发现，主要黑客获利地址为0xe0af…a599。根据MistTrack团队追踪溯源分析，ETH链第一笔手续费为Tornado Cash: 1 ETH，BSC链手续费来源为Kucoin和ChangeNOW，Polygon链手续费来源为FixedFloat。黑客的使用平台痕迹有Kucoin、FixedFloat、ChangeNOW、Tornado Cash、Uniswap、PancakeSwap、OpenOcean、Wing等。
截止目前，部分被盗Token （sUSD、RFuel、COOK等）被黑客通过Uniswap和PancakeSwap兑换成价值122万美元的主流资产，剩余被盗资金被分散到多条链60多个地址中，暂未进一步转移，全部黑客地址已被录入慢雾AML恶意地址库。[2023/7/2 22:13:22]
2.但由于DOD代币价格较低，恶意用户使用了2.8个BNB即兑换出99,990,000个DOD。
慢雾：警惕Web3钱包WalletConnect钓鱼风险:金色财经报道，慢雾安全团队发现 Web3 钱包上关于 WalletConnect 使用不当可能存在被钓鱼的安全风险问题。这个问题存在于使用移动端钱包 App 内置的 DApp Browser + WalletConnect 的场景下。
慢雾发现，部分 Web3 钱包在提供 WalletConnect 支持的时候，没有对 WalletConnect 的交易弹窗要在哪个区域弹出进行限制，因此会在钱包的任意界面弹出签名请求。[2023/4/17 14:08:53]
3.随后从各个池子中闪电贷借出大量的BUSD转入DOD合约中，以满足合约中BUSD数量大于99,999,000的解锁条件。
声音 | 慢雾：Ghostscript存在多个漏洞:据慢雾区消息，Google Project Zero发布Ghostscript多个漏洞预警，远端攻击者可利用漏洞在目标系统执行任意代码及绕过安全限制。Ghostscript 9.26及更早版本都受影响。软件供应商已提供补丁程序。[2019/1/24]
4.之后只需要调用DOD合约中的swap函数，将持有的DOD代币转入DOD合约中，既可取出1/10转入数量的BUSD代币。
5.因此DOD合约中的BUSD代币被非预期的取出。
本次DOD合约中的BUSD代币被非预期取出的主要原因在于项目方并未考虑到DOD低价情况下与合约中锁定的BUSD将产生套利空间。慢雾安全团队建议在进行经济模型设计时应充分考虑各方面因素带来的影响。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。