DODO:DODO攻擊事件分析：搬起“石頭”，竟砸了自己的腳？

一、事件概覽

北京時間2021年3月9日，根據輿情監測顯示，去中心化交易所DODO上的wCRES/USDT資金池似乎被黑客攻擊，轉移走價值近98萬美元的WrappedCRES和近114萬美元的USDT。據DODO官方回復目前團隊正在進行調查。原地址如下：https://www.odaily.com/newsflashes/235047.html

一地址在41分鐘前將277萬DODO存入Binance:金色財經報道，據Lookonchain發布貼表示，一地址“0xE809”在2小時前認領了277萬DODO（價值約355K美元），并在41分鐘前存入Binance。[2023/8/8 21:31:38]

去中心化交易平臺DODO完成HECO鏈部署，聚合多家平臺流動性:據官方消息，去中心化交易平臺DODO已完成HECO鏈的部署，此版本聚合了MDEX、BXH、Pippi、MDIS等平臺的流動性，支持任何人通過眾籌建池等方式低成本的發行代幣，后續還將支持私有池功能以滿足專業做市商上鏈。[2021/4/28 21:06:58]

△圖1成都鏈安安全團隊第一時間針對該事件啟動安全應急響應，并將事件細節分析進行梳理，以供參考。其實，該事件本身來說并不復雜，其攻擊流程也非常簡單。但因該事件涉及到“閃電貸”“重入攻擊”等熱門話題，因此成都鏈安認為有必要對該事件進行發聲。二、事件分析

DODO運營總監Lee：DODO的算法設計使鏈上做市變得可行:10月23日 20:00，DODO運營總監Lee作客MXC抹茶社區發表觀點。

Lee：“AMM本質上是一種作市策略。相當于在不知道任何外部信息的情況下，將資金均勻分散在0到正無窮的價格區間。

但是只有市場中間價附近的資金被頻繁交易，大部分資金都躺在賬本上睡覺。于是，在做市效果上，AMM資金利用率低、滑點大， 完全比不上人類做市商，這是不足之處。

因此我們認為，AMM并不是DEX的終局。而要把DEX這件事件再往前推一步，我們認為要模仿人類做市商的做市行為。通過引入外部的價格參考，將資金集中在預期價格附近以提高資金利用率。同時我們也在思考如何在DEX真正實現價格發現和有效的流動性提供。我們認為要中心化交易所的方式是很有借鑒價值的，目前中心化交易所中大部分的流動性都是專業做市商提供的。而 DODO 的先進的算法設計，使得專業做市商上鏈做市變得可行。”[2020/10/24]

該事件的攻擊原因主要在于合約的init函數未進行限制，從而導致攻擊者有權利進行調用，如圖2所示：

△圖2經分析，攻擊者利用了DODO合約中提供的閃電貸工具，首先向合約轉移了兩種空氣幣。緊接著，發起了一筆閃電貸交易。在交易結束之前，調用合約的init函數將幣種指向空氣幣，從而躲過了閃電貸的歸還校驗，如圖3所示。

△圖3三、安全建議

成都鏈安安全團隊認為，本起事件并不復雜，但值得敲響警鐘，引起廣大項目方的注意。具體而言，首先是DODO的閃電貸函數是進行了重入校驗的，但由于init函數并沒有添加重入校驗，所以導致了類似重入攻擊的發生。另外，結合成都鏈安審計團隊以往對項目方的安全審計經驗，由于目前代碼的復雜度越來越高，模塊化也隨之越來越多，有許多項目方雖然都使用了init函數進行管理，但需要提醒的是，init函數在solidity中也僅僅只是一個普通函數，在此呼吁廣大項目方與開發者引起重視。切記，不要誤以為取名為“init”，就只能進行一次調用。同時，我們建議，在日常的安全防護中，項目方也需要做好事無巨細的安全加固工作；通過借助第三方安全公司的專業力量，采用“形式化驗證與人工審核”結合的復合式審計方法，方能實現對項目面面俱到的全方位護航。

Tags：DODODODDEX中心化交易所DODO價格dodo幣價格Arbidex最大的去中心化交易所

屎幣