SharkTeam独家分析 | Ploygon上算法稳定币SafeDollar被攻击事件分析

北京时间2021年6月28日中午，明星公链Ploygon上算法稳定币 SafeDollar 被攻击，被恶意提取了20万USDC和近5万USDT，损失25万美金，SafeDollar（SDO）代币归零！

SharkTeam第一时间对此事件进行了分析，并总结了安全防范手段，希望后续的区块链项目可以引以为戒，共筑区块链行业的安全防线。

一、事件分析

通过分析发现，攻击者者的攻击交易表象行为如下：

（1） 获得天文数字的SDO

（2） 在PolyDex上兑换为USDT和USDC，获利。

那么，天文数字的SDO如何得来就是此次攻击的关键，通过分析发现。

（3） 攻击者首先同步不断的在资金池中进行存取交易，将资金池中的lpSupply控制到了非常小的量，无限趋近于0

（4）之后发起攻击交易，交易地址为：0x1360315a16aec1c7403d369bd139f0fd55a99578d117cb5637b234a0a0ee5c14

在更新资金池中pool.accSdoPerShare时，lpSupply是整个计算的分母，因为分母极小，造成pool.accSdoPerShare极大。而accSdoPerShare是计算SDO奖励的乘数因子，造成攻击者最终获得了天文数字的SDO奖励。

二、安全建议

随着 Ploygon 等“明星公链”不断的发展和强力的推广，吸引了一批相比于以太坊社区开发者更年轻的开发者，他们在安全和资产保护方面通常缺少必要的经验和意识，而通常初创的公链社区在审核项目上架方面的要求也很低、很不够明确，势必会造成黑客攻击高发，用户资产安全难以保障的困境。

SharkTeam提醒您，在涉足区块链项目时请提高警惕，选择更稳定、更安全，且经过完备多轮审计的公链和项目，切不可将您的资产置于风险之中，沦为黑客的提款机。

而作为项目方，智能合约安全关系用户的财产安全，至关重要！区块链项目开发者应与专业的安全审计公司合作，避免合约中的状态和计算错误，为用户的数字资产安全和项目本身安全提供保障。 SharkTeam 作为领先的区块链安全服务团队，为开发者提供智能合约审计服务。智能合约审计服务由人工审计和自动化审计构成，满足不同客户需求，独家实现覆盖高级语言层、虚拟机层、区块链层、业务逻辑层四个方面数百项审计内容，全面保障智能合约安全。

SharkTeam为客户提供高级别的区块链安全服务，区块链安全专家团队7*24小时为智能合约提供全生命周期的安全保障，服务包括：VIP安全审计服务、VIP合规审计服务、安全事故应急响应等。

SharkTeam也提供自动化审计工具，自动化审计以云服务的方式为用户提供服务。运用符号执行、形式化验证等智能合约分析技术，满足开发者智能合约日常审计需求。