0x01：前言
风投DAO组织BuildFinance在社交媒体发文表示，该项目遭遇恶意治理攻击，攻击者恶意铸造了110万枚BUILD并抛售套利。知道创宇区块链安全实验室第一时间对本次事件深入跟踪并进行分析。
0x02：事件详情
攻击者Suho
functionvote(uint_proposalId,bool_support)publiclockVotes{require(state(_proposalId)==ProposalState
Web3技术公司Virtual Nation Builders宣布收购FHM公司:金色财经报道，Web3 技术公司Virtual Nation Builders表示，它收购了FHM公司，该公司创建了南非第一个在全球交易所上市的工作证明加密货币safcoin。作为Web3公司收购FHM的结果，该加密货币现在将 \"上市并将其所有数字用例和平台合并到新的VNB建立的Cowrie交易所和伙伴关系中\"。[2022/9/19 7:04:50]
else{proposal
Axie Infinity Builders Program收到超2000份申请，最终12个项目入选:5月31日消息，周二，Axie Infinity开发商Sky Mavis宣布已经接受了Axie Infinity Builders Program中第一个由用户创建的项目。在2000多名申请者中，只有12个项目入选。
据悉，被选中的团队将获得至少1万美元的赠款，以AXS支付，用于资助项目开发。他们还将获得授权，以使用Axie Infinity品牌，以收入分成模式实现游戏盈利。其中值得一提的项目包括Across Lunacia（面向Axies NFTs的平台冒险游戏）和Mech Infinity（面向Axies及其独特能力的大逃杀游戏）。（Cointelegraph）[2022/6/1 3:54:05]
receipt
Paxful与Built With Bitcoin Foundation共同向非营利性组织人权基金会捐款:9月15日消息，点对点金融科技平台Paxful宣布将向非营利性组织人权基金会捐款。Paxful将与Built With Bitcoin Foundation一起进行捐赠。后者是一个人道主义组织，所有这些都由加密货币提供支持。这笔捐款将为Qala Fellowship提供资金，该项目旨在寻找和培养尼日利亚当地人才，从开发人员开始，在比特币领域发展职业生涯。Qala Fellowship目前正在接受申请，旨在吸引更多非洲开发人员从事比特币工作，建立自己的公司，为开源做贡献，以及/或在不同的公司从事比特币工作。开发人员还将获得每月的津贴，以便专注于课程工作。（Sun News Online）[2021/9/15 23:26:31]
该函数方法允许任何拥有一定数量资产的用户发起提案，持有该资产的其他用户进行投票，函数代码未发现安全问题，因此我们推测攻击者可能是通过合约发起的提案。在提案通过后，攻击者铸造了100万个BUILD代币，耗尽大部分Balancer和Uniswap流动性池的资金：
而在2021年1月，TimeLock合约将治理权交给了0x5a5a6ebeb61a80b2a2a5e0b4d893d731358d888583：
最后在2022年2月，由Suho.eth发起提案，利用低投票阈值将治理者更换为0xdcc8a38a3a1f4ef4d0b4984dcbb31627d0952c28，恶意接管后铸币套现。
0x03：总结
经过完整分析，知道创宇区块链安全实验室明确了该次事件的源头由攻击者创造低阈值提案，让自己恶意接管了治理权限，去中心化的治理实现是很有必要的，但不应该让攻击者可以利用少量投票就通过提案。
Polkadot生态研究院出品,必属精品波卡一周观察,是我们针对波卡整个生态在上一周所发生的事情的一个梳理,同时也会以白话的形式分享一些我们对这些事件的观察.
1900/1/1 0:00:00SupraOracles很高兴地宣布与IoTeX建立合作伙伴关系,IoTeX是领先的区块链和物联网平台,具有MachineFi的愿景.
1900/1/1 0:00:00介绍拥有民主化的科学不是很好吗？当然是！然而,许多人会说这是一个乌托邦的愿景,而不太可能成真。简单来说,尽管科学家向资助机构提交了许多好的项目,每个项目都代表了特定群体的需求,但由于公共系统能力.
1900/1/1 0:00:002021年,据Nonfungible统计显示,全球NFT交易规模已经达到176亿美元,相比前一年的8200万美元,疯狂上涨超过200倍.
1900/1/1 0:00:002022.3.28第111期本期关键字V神提出新分片；宝格丽推出手表NFT系列；说唱歌手SnoopDogg推出NFT；哔哩哔哩推出数字藏品;ElonMusk将构建社交媒体将支持狗狗币；TheSa.
1900/1/1 0:00:00SupraOracles与Hypersign合作,这是一种去中心化数字身份协议,可将Web2.0客户的用例扩展到Web3.0时代.
1900/1/1 0:00:00
火星链
public{require(msg</p>
<p> functionsetGovernance(address_governance)public{require(msg</p>
<p> 合约在初始化的时候会设置合约拥有者为治理者，并且只有治理者可以发起铸币请求，而只有治理者才能调用setGovernance函数更换治理者，因此可以确定，攻击者发起的具体提案为更换治理者。</p>
<p> 在创建合约的时候，治理者为0x2Cb037BD6B7Fbd78f04756C99B7996F430c58172，也就是合约部署者，他在部署合约后将治理者更换为TimeLock合约0x38bce4b45f3d0d138927ab221560dac926999ba6：</p>
<p> <img alt=)