当前位置:首页 > 数字货币资讯 > 正文内容

慢雾:pGALA 事件根本原因系私钥明文在 GitHub 泄露

xytest2022-11-08 04:40数字货币资讯362

慢雾:pGALA 事件根本原因系私钥明文在 GitHub 泄露

 

据慢雾区情报,11 月 4 日,一个 BNB Chain 上地址凭空铸造了超 10 亿美元的 pGALA 代币,并通过 PancakeSwap 售出获利,导致此前 GALA 短时下跌超 20%。慢雾将简要分析结果分享如下:

相关信息

pGALA 合约地址

0x7dDEE176F665cD201F93eEDE625770E2fD911990

proxyAdmin 合约地址

0xF8C69b3A5DB2E5384a0332325F5931cD5Aa4aAdA

proxyAdmin 合约原 owner 地址

0xfEDFe2616EB3661CB8FEd2782F5F0cC91D59DCaC

proxyadmin 合约当前 owner 地址

0xB8fe33c4B55E57F302D79A8913CE8776A47bb24C

简要分析

1. 在 pGALA 合约使用了透明代理(Transparent Proxy)模型,其存在三个特权角色,分别是 Admin、DEFAULT_ADMIN_ROLE 与 MINTER_ROLE。

2. Admin 角色用于管理代理合约的升级以及更改代理合约 Admin 地址,DEFAULT_ADMIN_ROLE 角色用于管理逻辑中各特权角色(如:MINTER_ROLE),MINTER_ROLE 角色管理 pGALA 代币铸造权限。

3. 在此事件中,pGALA 代理合约的 Admin 角色在合约部署时被指定为透明代理的 proxyAdmin 合约地址,DEFAULT_ADMIN_ROLE 与 MINTER_ROLE 角色在初始化时指定由 pNetwork 控制。proxyAdmin 合约还存在 owner 角色,owner 角色为 EOA 地址,且 owner 可以通过 proxyAdmin 升级 pGALA 合约。

4. 但慢雾安全团队发现 proxyAdmin 合约的 owner 地址的私钥明文在 Github 泄漏了,因此任何获得此私钥的用户都可以控制 proxyAdmin 合约随时升级 pGALA 合约。

5. 不幸的是,proxyAdmin 合约的 owner 地址已经在 70 天前(2022-08-28)被替换了,且由其管理的另一个项目 pLOTTO 疑似已被攻击。

6. 由于透明代理的架构设计,pGALA 代理合约的 Admin 角色更换也只能由 proxyAdmin 合约发起。因此在 proxyAdmin 合约的 owner 权限丢失后 pGALA 合约已处于随时可被攻击的风险中。

总结

综上所述,pGALA 事件的根本原因在于 pGALA 代理合约的 Admin 角色的 owner 私钥在 Github 泄漏,且其 owner 地址已在 70 天前被恶意替换,导致 pGALA 合约处于随时可被攻击的风险中。

分享给朋友:

相关文章

cpi ppi数据公布对比特币价格的影响

cpi ppi数据公布对比特币价格的影响

cpi ppi数据公布对比特币价格的影响 1、今天公布cpi,明天公布ppi,前者是关于消费者,后者是生产者,市场最关注的通胀数据,就是cpi了。预期是5%,前值也是5%。 2、回顾往期数据,再结...

SAND币今日价格_SAND币最新消息_SAND币行情走势!

SAND币今日价格_SAND币最新消息_SAND币行情走势!

The Sandbox是一个虚拟游戏世界,通过基于以太坊的功能型代币SAND,玩家可以创建和拥有不同的游戏体验,并从中获得收益。游戏玩家可以通过The Sandbox Game Maker,来创...

恒久币/AE币项目介绍及评级分析

恒久币/AE币项目介绍及评级分析

AE是一个主打预言机开发的项目,不过上线以来一直没有做出什么实质的落地用,币价也是一直处于下跌至中。不过项目社区的热度不错,很多都是核心铁粉,代码的提交维护频次也很高,日常发言数也很多,可以保住长期关...

十大虚拟货币交易平台排行 虚拟币交易所app大全

十大虚拟货币交易平台排行 虚拟币交易所app大全

打开APP领取盲盒,最高可开出60,000元数字货币 2022虚拟货币交易平台app哪个好,很多网友都想知道这个问题的回答,虚拟货币交易app主要功能就是能满足网友的日常比特币投资管理,还有就是能看...

如何把币提取到支持HECO链的钱包中_heco链发代币教程

如何把币提取到支持HECO链的钱包中_heco链发代币教程

本篇文章给大家谈谈如何把币提取到支持HECO链的钱包中,以及heco链发代币教程对应的知识点,币圈网致力于为用户带来全面可靠的币圈信息,希望对各位有所帮助! shib可以选择HECO充提币吗 可...