PAID Network攻擊事件還原
2021-07-26 21:05:41 次浏览
火幣網(huobi.com)最新可用網址（點擊下圖直達註冊！）
火必交易所，曾经的火币交易所！
欧易OKX三大交易所，稳定好用！
币安全球第一大交易所！安全！
2021年3月5日，PAID Network遭受瞭由於私鑰管理不善而引起的 “鑄幣 “攻擊。
攻擊者使用代理合約私鑰，將原先經過CertiK審計的PAID合約代碼掉包，添加瞭銷毀（burn）和鑄幣（mint）的功能函數。
因為PAID代幣已達上限，攻擊者先銷毀（burn）瞭6000萬枚PAID代幣，然後再重新鑄造瞭59,471,745枚PAID，並通過Uniswap出售。
CertiK團隊第一時間和PAIDNetwork團隊溝通調查，
確認瞭原代碼並無漏洞，攻擊事件是由私鑰泄露導致的
。目前CertiK團隊仍無法確認私鑰泄露的原因，但已經可以將整個攻擊過程還原。
2021年3月5日，PAID遭受瞭持續約30分鐘的攻擊。
通過鏈上分析，CertiK團隊總結瞭攻擊的時間線及操作步驟如下：
第一步：合約所有權被轉移給瞭攻擊者，此時攻擊者在得到私鑰後就已經完全獲得瞭代理合約的控制權。
第二步：攻擊者利用代理更新合約，添加瞭銷毀（burn）和鑄幣（mint）的功能函數。
第三步：攻擊者銷毀（burn）瞭6000萬枚PAID，留出鑄幣空間。
第四步：攻擊者開始鑄幣，並向Uniswap傾銷PAID代幣以換取以太幣。
最後，本次事件並沒有攻擊智能合約的代碼本身，而是
通過某種渠道獲得瞭代理合約的私鑰。
CertiK在審計報告中的PTN-10章節提出瞭: Ambiguous Functionality （模糊功能）以及其他章節強調瞭PAID合約中心化的問題。
2021年3月5日，攻擊者獲得PAID代理合約私鑰，替換原有代碼，添加瞭銷毀（burn）和鑄幣（mint）的功能函數。
攻擊者之後銷毀瞭6000萬枚PAID代幣，留出鑄幣空間。
最後，鑄造瞭59,471,745枚PAID，並通過Uniswap出售瞭2,401,203枚代幣。
客觀來看，本次攻擊事件中攻擊者並沒有找到任何原合約的漏洞，而是直接獲得瞭代理合約私鑰。
當合約的可升級性作為項目的預期功能而存在時，它在智能合約中確實有其存在的價值。
而這種類型的功能要求合約所有者以及部署者
在確保代碼基本安全的同時，同樣必須保證私鑰的安全
。
CertiK將會在未來更多地強調並關註中心化及私鑰保護等相關問題。
復制下方鏈接至瀏覽器，查看CertiK於2021年1月24日為PAID Network出具的審計報告：
https://certik.org/projects/paidnetwork
作者：CertiK，來源：CertiK
