Web3 安全 | Atlantis 被治理攻击事件分析
根据 Numen 链上监控显示，Jun-10-2023 09:53:40 AM（+UTC），
Atlantis（https://atlantis.loans/）遭到攻击。
事件分析
攻击交易：
bscscan.com/tx/0x3b0df86f548946d9dda9fb4177ae27bf33f06315c73ea50945ab9e53a041d7e1
**攻击者地址：**bscscan.com/address/0xeade071ff23bcef312dec938ece29f7da62cf45b
根本原因
攻击者把代币的代理合约的 admin 设置成了自己，再通过更新逻辑合约的方法增加后门函数，最后转移授权过这个合约的用户代币。
攻击流程
1.攻击者之所以能够更换合约的 admin，是通过发起治理攻击的方式实现的。具体流程如下：
1）攻击者发起提案，建议更换合约的 admin。
2）提案被通过后，需要等待时间锁定期。
3）时间锁定期结束后，合约的 admin 被成功更换。
4）攻击者利用新的 admin 权限进行攻击。
这种攻击属于治理攻击，利用了代币合约的治理机制来篡改合约的权限，从而获取非法的控制权。
2.从下往上依次涉及的步骤是：
- 发起提案
- 投票
- 进入时间锁定队列
- 在执行提案之前等待 172,800 秒
- 将自己设置为项目中所有代币的代理合约管理员（setpendingadmin）
- 最后调用 accept
3.随后，攻击者修改了代理合约的实现逻辑，增加了后门功能，将与合约交互的用户的授权资产进行转移，以牟利。
值得注意的是，投票过程并没有在攻击中起到显著的作用。
4.关键的一步是将提案放入队列，它只检查“eta”参数（解锁时间）并且在进入队列时始终具有 0 值，这允许攻击者在指定的时间锁定期后执行提案。
END
关于Numen Cyber
Numen Cyber 是链上威胁检测与防御的先驱，团队成员拥有在亚马逊、华为、百度、奇虎360等众多知名大厂与 OKlink，知道创宇，成都链安等知名 Web3 主体安全岗位从业经历。
拥有 Web2+Web3 多重安全技能储备的 Numen Cyber 旗下拥有 ImmunX 和 Leukocyte 两款安全产品，分别可在应用层和物理层为 Web3 项目提供保护。其中 ImmunX 包含安全策略开放市场和合约防火墙等独创功能，可以为 Web3 生态提供一站式全方位的保护；Leukocyte 则是保护服务器安全，实时检测黑客针对服务器的各种攻击并自动阻断、报警。
目前 Numen Cyber 的合作伙伴包括不限于 Binance，Sui，Cobo，BitForex，ChainUp，Suiet 等，也包括新加坡金融管理局、新加坡国立大学、中国移动，以及阿里云、腾讯云、华为云、亚马逊、微软等。
Numen 官网
GitHub
https://twitter.com/@numencyber
Medium
https://medium.com/@numencyberlabs
