0x01：前言
风投DAO组织BuildFinance在社交媒体发文表示，该项目遭遇恶意治理攻击，攻击者恶意铸造了110万枚BUILD并抛售套利。知道创宇区块链安全实验室第一时间对本次事件深入跟踪并进行分析。
0x02：事件详情
攻击者Suho
functionvote(uint_proposalId,bool_support)publiclockVotes{require(state(_proposalId)==ProposalState
BNB Chain Builder Grant 11 月受赠项目公布：Owl Protocol 和 BlockVision:12月6日消息，BNB Chain 公布 BNB Chain Builder Grant 11 月受赠项目方，包括无代码、动态 NFT 工具开发项目 Owl Protocol 和 Web3 数据基础设施公司 BlockVision。
据悉，BNB Chain 通过该捐赠计划每月投入 50 万美元定期支持潜力项目，每月 1 日到 7 日接受申请。[2022/12/6 21:26:26]
else{proposal
Web3构建者网络Buildspace完成1000万美元融资，a16z领投:11月18日消息，Web3构建者网络Buildspace近日在其官网上宣布完成1000万美元融资，a16z领投，Founders Inc、Weekend Fund、Y-Combinator、Vayner Fund、Protocol Labs、OrangeDAO、Solana Ventures、OpenSea Ventures、Alchemy Ventures、DreamerVC等参投。
据悉，Buildspace旨在为用户提供探索职业生涯发展的学习平台，现在正专注于Web3领域。目前Buildspace上开设的学习项目包括Solidity、以太坊NFT、Solana Web3 App等。[2022/11/18 13:21:25]
receipt
Paxful与Built With Bitcoin Foundation共同向非营利性组织人权基金会捐款:9月15日消息，点对点金融科技平台Paxful宣布将向非营利性组织人权基金会捐款。Paxful将与Built With Bitcoin Foundation一起进行捐赠。后者是一个人道主义组织，所有这些都由加密货币提供支持。这笔捐款将为Qala Fellowship提供资金，该项目旨在寻找和培养尼日利亚当地人才，从开发人员开始，在比特币领域发展职业生涯。Qala Fellowship目前正在接受申请，旨在吸引更多非洲开发人员从事比特币工作，建立自己的公司，为开源做贡献，以及/或在不同的公司从事比特币工作。开发人员还将获得每月的津贴，以便专注于课程工作。（Sun News Online）[2021/9/15 23:26:31]
该函数方法允许任何拥有一定数量资产的用户发起提案，持有该资产的其他用户进行投票，函数代码未发现安全问题，因此我们推测攻击者可能是通过合约发起的提案。在提案通过后，攻击者铸造了100万个BUILD代币，耗尽大部分Balancer和Uniswap流动性池的资金：
而在2021年1月，TimeLock合约将治理权交给了0x5a5a6ebeb61a80b2a2a5e0b4d893d731358d888583：
最后在2022年2月，由Suho.eth发起提案，利用低投票阈值将治理者更换为0xdcc8a38a3a1f4ef4d0b4984dcbb31627d0952c28，恶意接管后铸币套现。
0x03：总结
经过完整分析，知道创宇区块链安全实验室明确了该次事件的源头由攻击者创造低阈值提案，让自己恶意接管了治理权限，去中心化的治理实现是很有必要的，但不应该让攻击者可以利用少量投票就通过提案。
MediaCoverageTether驳回乌克兰关于禁止俄罗斯交易的上诉此前,费多罗夫曾呼吁多家西方公司实施类似禁令.
1900/1/1 0:00:00用质押换取做任务的资格,以及完成任务就能赢得代币,这种办法让DAO在向社区成员发布任务时更加容易.
1900/1/1 0:00:00BlockScience和ixo在Interchain基金会的支持下,设计了一个创新的加密经济原语,实现了通过风险调整型联合曲线的方式对融资效果产生影响.
1900/1/1 0:00:00DAO从丛林法则到人类法则,人类是依赖并需要合作才能生存和繁荣的社会动物。因此,我们始终将自己组织成部落、团体、团队、委员会、公司和其他形式的集体行动,以发展、学习、适应、协调和执行我们的更高愿.
1900/1/1 0:00:00一、上周行业动态上周对于绝大多数风险投资者来讲是一个被反复打脸的过程,北京时间周四凌晨,美联储FOMC声明将加息50个基点,并在6月份开始以每月475亿美元的步伐缩表.
1900/1/1 0:00:00格林纳达常驻世界贸易组织代表、特命全权大使、波场TRON创始人孙宇晨先生阁下受邀参与的纪录片《AligningTheFuture》中英字幕完整版已正式上线.
1900/1/1 0:00:00
月亮链
public{require(msg</p>
<p> functionsetGovernance(address_governance)public{require(msg</p>
<p> 合约在初始化的时候会设置合约拥有者为治理者，并且只有治理者可以发起铸币请求，而只有治理者才能调用setGovernance函数更换治理者，因此可以确定，攻击者发起的具体提案为更换治理者。</p>
<p> 在创建合约的时候，治理者为0x2Cb037BD6B7Fbd78f04756C99B7996F430c58172，也就是合约部署者，他在部署合约后将治理者更换为TimeLock合约0x38bce4b45f3d0d138927ab221560dac926999ba6：</p>
<p> <img alt=)