Sushi MISO现漏洞 白帽骇客5小时保住BitDAO筹得3.5亿美元

据Paradigm研究员Samczsun周二(17)报告，BitDAO昨日通过MISO平台进行的荷兰式拍卖中存在智能合约漏洞，经多名白帽骇客联手才挽救回暴露在风险之下的10.9万枚以太币。

在Paradigm、Immunefi和SushiSwap等团队联手处理下，一场涉及3.5亿美元资金的潜在攻击行动被成功提前阻止。

简单来说，MISO平台上的漏洞会错误地处理荷兰式拍卖中的失败事务，即智能合约不会拒绝超过拍卖硬上限的交易，反而是在拍卖结束后退款给用户。

因此，攻击者可以利用MISO平台上的漏洞免费投标，并获得提交金额和当前出价间的差额退款，直到耗尽合约中的所有资金。

Samczsun将这一漏洞比作去年8月导致DeFi选择权平台Opyn遭骇客攻击的的漏洞，那起攻击造成了约37万美元的损失。

Immunefi技术长Duncan Townsend解释道：“这个漏洞是在钱包地址的便利功能和拍卖合约的退款机制相互作用下产生的。……用户可能会出价过高，并获得当前出价和他们提交金额间的差额作为退款，但可能出现重复退款，从而耗尽拍卖合约。”

为了填补这个漏洞，昨日在MISO平台上进行荷兰式拍卖的BitDAO也提早结束了以太币众筹池的进度。最终，白帽组成的团队花了5个小时内进行修复，保障了高达3.5亿美元的资金不会落入骇客之手。

SushiSwap团队也在修复完毕后通过声明表示：“在更新版本重新部署之前，所有计划将利用以太币进行的荷兰式拍卖都将暂时停止。”

智能合约复杂且困难

Samczsun在文章的结语中反思了这场白帽行动中得到的教训：“即便是各种安全的组件组合在一起，也可能会制造出一些不安全的东西。”

他表示，支持DeFi运作的智能合约相当复杂，尤其它们又会通过可组合的DeFi乐高创建出新的合约和协议。但是，即使采用的是安全的组件，DeFi乐高仍可能会无意间导致灾难性的后果。

涉及金额高达6亿美元、堪称史上最大DeFi骇客案的Poly Network攻击事件也才刚过去一周，老字号的SushiSwap就也立刻出现了如此重大的纰漏，足见DeFi确实还相当大的成长与改革空间。