北京时间2022年7月23日，CertiK安全团队监测到去中心化音乐平台Audius遭到黑客攻击，损失了价值600万美元的AUDIO代币。攻击者通过调用initialize()函数重新初始化修改了Audius治理合约的配置，然后提出并执行了一个恶意提案，导致Audius合约将1850万AUDIO代币转移给攻击者。
大约价值600万美元的AUDIO代币被攻击者交易为约700ETH。
巴西政府准备出台新法令以澄清加密货币规则:金色财经报道，巴西政府正准备发布一项法令，以填补最近批准的加密货币法留下的空白。该文件由财政部准备，将确定巴西中央银行和国家证券监管机构 (CVM) 的监督和职责范围。（News Bitcoin）[2023/2/18 12:15:00]
攻击步骤
①?攻击者调用Audius治理合约中的initialize()函数来修改配置，如“投票期”、“执行延迟”、“监护人地址”。该函数受到“initializer”修改器的保护，不应该被多次调用。
https://etherscan.io/tx/0x3bbb15f9852c389e8d77399fe88b49b042d0f22aad4a33c979fbabc60a34b24f
Cardano生态ZK-Rollup扩容项目Orbis宣布停止运营:11月24日消息，基于Cardano的二层ZK-Rollup扩容解决方案Orbis发推称，由于资金有限和不确定的条件，Orbis Labs无法继续建设，该项目已经停止。NFT已暂停，直至另行通知，届时将为核心ZK-Rollup解决方案制定后续计划。
Orbis表示正在制定一个长期的项目计划。目前Orbis Labs Github组织将保持开源，并对外部贡献者开放。[2022/11/24 8:04:13]
https://etherscan.io/tx/0xfefd829e246002a8fd061eede7501bccb6e244a9aacea0ebceaecef5d877a984
ApeCoin特别委员会成员Maaria Bajwa发起100万美元的“漏洞赏金计划”提案:金色财经报道，鉴于Apecoin DAO质押系统计划于本月晚些时候上线，ApeCoin 特别委员会成员Maaria Bajwa已经发起提案，旨在创建一个“漏洞赏金计划”来保护智能合约并将为该计划分配价值100万美元的APE。Maaria Bajwa表示，即将到来的质押计划是对APE金库资源的重大分配，将需要 APE 持有者的智能合约交互，漏洞赏金计划增加了一层额外的安全性，并降低了 APE 持有者和 DAO 的风险，不过由于这个漏洞赏金计划的创建，预计将使ApeCoin DAO的质押延迟2-4周，如果在此期间没有发现漏洞则将启动质押系统上线，据此前消息，Horizen Labs已宣布ApeCoin质押系统的“上线”日期是10月31日。[2022/10/17 17:28:13]
https://dashboard.tenderly.co/tx/mainnet/0xfefd829e246002a8fd061eede7501bccb6e244a9aacea0ebceaecef5d877a984/debugger?trace=0.0.0.1.0.0
欧易Web3钱包接入以太坊分叉链ETF:据欧易官方公告显示，欧易Web3钱包已于2022 年 09 月 16 日 19:00 (HKT) 接入以太坊分叉链 ETF。
据悉，欧易Web3钱包最全面的异构多链钱包，包含数字货币钱包、DEX、NFT 市场、DApp探索4大板块。已完成以太坊分叉链ETHW、ETF接入，用户无需手动配置即可在欧易Web3钱包查看、管理个人链上资产。[2022/9/16 7:01:43]
数据：ETH期权的总持仓量创历史新高:金色财经报道，据The Block数据，8月12日ETH未平仓头寸达到81.1亿美元，这个数字几乎是一个月前的三倍，已创下历史新高。根据对冲基金Ledger Prime的说法，ETH期权的未平仓头寸激增似乎与新的、更复杂的策略的出现有关。（The Block）[2022/8/14 12:24:19]
②?攻击者提交了恶意提案，该提案是要求Audius治理合约向攻击者转移1850万AUDIO代币。https://etherscan.io/tx/0xfefd829e246002a8fd061eede7501bccb6e244a9aacea0ebceaecef5d877a984.
③?攻击者对恶意提案进行投票。https://etherscan.io/tx/0x3c09c6306b67737227edc24c663462d870e7c2bf39e9ab66877a980c900dd5d5
④?攻击者执行了恶意提案，获得了1850万AUDIO代币。https://etherscan.io/tx/0x4227bca8ed4b8915c7eec0e14ad3748a88c4371d4176e716e8007249b9980dc9
⑤?攻击者售出1850万AUDIO代币，获取了约700ETH。https://etherscan.io/tx/0x82fc23992c7433fffad0e28a1b8d11211dc4377de83e88088d79f24f4a3f28b3?
漏洞分析
CertiK安全团队在调查中，试图找出攻击者是如何多次调用initialize()的。
分析后发现事件的根本原因是代理合约和逻辑合约之间存在存储冲突——逻辑合约使用了代理合约的内存。
为了解决这个问题，Audius做出了相应调整:
①?修改了逻辑合约的存储结构：
②?限制了可以调用initialize()函数的权限：
资金去向
攻击者合约:?https://etherscan.io/address/0xbdbb5945f252bc3466a319cdcc3ee8056bf2e569
约700ETH被转移到攻击者地址当中：https://etherscan.io/address/0xa0c7bd318d69424603cbf91e9969870f21b8ab4c
写在最后
在CertiK编撰的《2022年第二季度Web3.0安全现状报告》中，显示了2022年第二季度Web3.0十大攻击事件的罪魁祸首正是漏洞恶意利用，其攻击事件相比其它小分类来说，数量较少，但往往具备更大的破坏性。
本次攻击事件本可通过审计发现「代码未遵循最佳实践」这一风险因素。除了审计之外，CertiK安全团队建议新增的代码也需要在上线前及时进行相应测试。
来源：金色财经
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。