企業(yè)
- 企業(yè)
- 產(chǎn)品
- 知識
北京時間2022年9月5日，CertiK審計團隊監(jiān)測到Daoswap由于挖礦獎勵大于交換過程中收取的費用以及缺乏驗證，允許用戶將邀請者地址設置為自己，在一次攻擊中損失了58萬USDT。 攻擊步驟 ① 攻擊者合約從12個地址中共閃電貸到了218萬美元。 ② 攻擊者合約使用DAORouter將所有閃電貸到的USDT交換為DAO代幣。在交換過程中，攻擊者合約以兩種方式從SwapToEarn獲得DAO代幣作為獎勵： a. 代幣獎勵：這是為換取代幣的用戶準備的。 b. 邀請者獎勵：攻擊者在調用函數(shù)時可以任意設置一個“邀請者”地址，相當于推薦人也可以獲取獎勵。在這種情況下，攻擊者合約將邀請者地址設置為自己。