安全公司：DAO Maker被盜分析

據慢霧區情報，DAO Maker 的Vesting 合約遭到黑客攻擊。 DeRace Token (DERC)，Coinspaid (CPD)，Capsule Coin (CAPS)，Showcase Token (SHO)，都使用了Dao Maker 的分發系統，在DAO Maker 中進行持有者發行（SHO）時因DAO Maker 合約被攻擊，即SHO 參與者的分發系統中出現了一個漏洞：init 未初始化保護，攻擊者初始化了init 的關鍵參數，同時變更了owner，然後通過emergencyExit 將目標代幣盜走，並兌換成了DAI，攻擊者最終獲利近400 萬美金。黑客利用Vesting 合約中的漏洞，將Vesting 合約中的代幣提走，如下是簡要分析：對Vesting 合約的實現合約0xf17ca0e0f24a5fa27944275fa0cedec24fbf8ee2 進行反編譯得到如下信息： 1. Vesting 合約中的init 函數(函數簽名：0x84304ad7)，沒有對調用者進行鑑權，黑客通過執行init 函數成為Vesting 合約的Owner。 2. Owner 可以執行Vesting 合約中的emergencyExit 函數，進行緊急提款。相關合約地址：（以DERC 為例） Vesting 代理合約：0x2fd602ed1f8cb6deaba9bedd560ffe772eb85940、0xdd571023d95ff6ce5716bf112ccb752e86212167 Vesting 實現合約：0xf17ca0e0f24a5fa27944275fa0cedec24fbf8ee2 黑客地址：0x2708cace7b42302af26f1ab896111d87faeff92f。利用同樣的手法其攻擊其他Vesting 合約。