本文由Certik原创，授权金色财经首发。
2021年3月5日，PAIDNetwork遭受了由于私钥管理不善而引起的"铸币"攻击。
攻击者使用代理合约私钥，将原先经过CertiK审计的PAID合约代码掉包，添加了销毁和铸币的功能函数。
因为PAID代币已达上限，攻击者先销毁了6000万枚PAID代币，然后再重新铸造了59,471,745枚PAID，并通过Uniswap出售。
CertiK团队第一时间和PAID?Network团队沟通调查，确认了原代码并无漏洞，攻击事件是由私钥泄露导致的。目前CertiK团队仍无法确认私钥泄露的原因，但已经可以将整个攻击过程还原。
首发 | imKey正式支持Filecoin，成为首批Filecoin硬件钱包:12月1日，随着imToken2.7.2版本上线，imKey同步支持Filecoin，成为业内首批正式支持FIL的硬件钱包。Filecoin作为imKey多链支持的优先级项目之一，成为继BTC、ETH、EOS和COSMOS四条公链后的第五条公链。
据悉，imKey团队已在Q4全面启动多链支持计划，计划实现imToken已经支持的所有公链项目，本次imKey升级更新，无需更换硬件，不涉及固件升级，通过应用（Applet）自动升级，即可实现imKey对Filecoin的支持及FIL的代币管理。[2020/12/2 22:52:32]
PAID事件时间线
首发 | 欧科云链推出“天眼方案”推动链上安全系统再升级:8月28日，区块链产业集团欧科云链宣布推出区块链“天眼方案”，主要通过链上数据追踪系统研发、对外技术支持、凝聚企业众力等途径，全面助力区块链安全提升和产业平稳健康发展。
据了解，在“天眼方案”下，欧科云链集团将打造链上数据追踪系统，通过溯源数字资产、监控非法交易等手段，全力遏制等非法行为；协助执法机关办案，并为打造法务等区块链系统提供技术支持；为联盟链和基于各类业务的链上数据提供区块链+大数据的解决方案。[2020/8/28]
2021年3月5日，PAID遭受了持续约30分钟的攻击。
首发 | 区块链技术及软件安全实战基地正式成立:金色财经报道，今日，中软协区块链分会、人民大学、菏泽市局相关部门联合共建的区块链技术及软件安全实战基地正式成立。同时聘任中软协区块链分会副秘书长宋爱陆为区块链技术及软件安全实战基地特别专家。
区块链技术及软件安全实战基地主要涉及领域为：非法数字货币交易与、区块链与电信、网络、四方支付、冒用商标注册等，联合社会治理、城市安全、前沿技术领域的行业专家，进行警协合作。
据公开报道，近期菏泽市下属机关刚破获一起特大电信网络案，打掉多个涉嫌以网贷和投资“比特币”为名的团伙，抓获犯罪嫌疑人83名，扣押冻结涉案资金2700万元。[2020/7/21]
通过链上分析，CertiK团队总结了攻击的时间线及操作步骤如下：
第一步：合约所有权被转移给了攻击者，此时攻击者在得到私钥后就已经完全获得了代理合约的控制权。
第二步：攻击者利用代理更新合约，添加了销毁和铸币的功能函数。
第三步：攻击者销毁了6000万枚PAID，留出铸币空间。
第四步：攻击者开始铸币，并向Uniswap倾销PAID代币以换取以太币。
最后，本次事件并没有攻击智能合约的代码本身，而是通过某种渠道获得了代理合约的私钥。
CertiK在审计报告中的PTN-10章节提出了:AmbiguousFunctionality以及其他章节强调了PAID合约中心化的问题。
总结
2021年3月5日，攻击者获得PAID代理合约私钥，替换原有代码，添加了销毁和铸币的功能函数。
攻击者之后销毁了6000万枚PAID代币，留出铸币空间。
最后，铸造了59,471,745枚PAID，并通过Uniswap出售了2,401,203枚代币。
客观来看，本次攻击事件中攻击者并没有找到任何原合约的漏洞，而是直接获得了代理合约私钥。
当合约的可升级性作为项目的预期功能而存在时，它在智能合约中确实有其存在的价值。
而这种类型的功能要求合约所有者以及部署者在确保代码基本安全的同时，同样必须保证私钥的安全。
CertiK将会在未来更多地强调并关注中心化及私钥保护等相关问题。
复制下方链接至浏览器，查看CertiK于2021年1月24日为PAIDNetwork出具的审计报告：
https://certik.org/projects/paidnetwork
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。