目录导航
DODO是基于以太坊和Binance智能链（BSC）运行的主动做市商算法构建的去中心化交易所。它为DEX交易者提供了具有竞争力的价格，并为流动性提供者减少了无常损失（IL）。
此外，DODO具有高资本效率的流动资金池，可支持单一代币拨备并最大程度地减少交易者的滑点。该交易平台还包括去中心化流动性汇总服务，该服务路由并比较称为SmartTrade的各种流动性来源。
DODO消除了阻碍新资产发行的流动资金池创建的所有障碍，并凭借这一新突破，他们推出了Crowdpooling，这是一种未经许可的，机会均等的流动资金，提供针对专业链上市场做市商的解决方案。
发生了什么事
DODO遭受了一次漏洞利用，导致大量代币损失，在过去24小时内损失了大约380万美元。根据他们最近的更新，他们预计这些资金的一半将被退还。受此漏洞影响的有四个特定的资金池，即WSZO，WCRES，ETHA和FUSI。
该公司解释说，出现此问题是由于存在一个漏洞，该漏洞使攻击者可以创建伪造令牌并使用快速贷款将其转移到他们的钱包中。
DODO已决定暂时禁用池创建门户以保护新创建的人群池，现在将着重于与安全伙伴一起收回用户的资金。在总窃取金额中，WCRES和USDT分别窃取了90万美元和115万美元。
最近，Furucombo协议在2月底也遭到了1400万美元的黑客攻击，因此就Defi hacks而言，DODO的380万美元损失代表相对较低的金额，并且对该协议的信心在声明中幸存了下来。甚至其治理令牌的价格也保持稳定。
拼图风险投资公司的执行合伙人，也是DODO的主要投资者周杰伦（ Jerry Zhou ）在推文中表示，
“我可以理解一些投资者和众筹项目对DODO感到沮丧，但您应该知道这条路从来都不平坦。据我所知，他们在收回资金方面取得了重大进展。我相信他们最终会取得不错的成绩。”
来自DODO DEX的最新推文：
?CommanDODO?，请放心，所有资金都是#SAFU，您无需采取任何行动。
我们正在与Crowdpool创作者紧密合作，以达到可接受的分辨率。您可以照常继续使用https://t.co/eEaB6W8WZ3。? #JustDODOIt
— DODO DEX（@BreederDodo）2021年3月9日
攻击详情
我们要求以下地址的所有者通过Telegram或Discord上的管理团队，或在Twitter（@BreederDodo）上与我们联系，通过[email protected]与DODO团队联系：
-0x00000000e84f2bbdfb129ed6e495c7f879f3e634
-0x3554187576ec863af63eea81d25fbf6d3f3f13fc
到目前为止我们所知道的
该漏洞利用针对了多个DODO V2人群池，即WSZO，WCRES，ETHA和FUSI池。所有其他池（包括所有V1池和所有非Crowdpool V2池）中的资金都是安全的。由于这些漏洞，总共耗费了约380万美元，其中188万美元有望被退回（有关更多信息，请参见下文）。
DODO V2 Crowdpooling智能合约有一个错误，该错误允许多次调用init（）函数。这意味着攻击者可以通过以下步骤执行攻击：
- Exploiter创建一个伪造令牌并通过调用init（）函数来初始化智能合约
- Exploiter调用sync（）函数并将代表令牌余额的“ reserve”变量设置为0
- Exploiter再次调用init（）重新初始化-这次使用“真实”令牌（即DODO池中的令牌）
- Exploiter使用快速借贷从池中转移所有真实代币，并绕过快速借贷检查
总而言之，有两个人参与了此漏洞利用。我们将它们称为个人A和个人B。
个体B具有领先机器人的所有特征，因为：
-他们以几个0的前缀构造了他们的合同地址
-他们使用CHI汽油
-他们设定了极高的汽油价格；在一种情况下，他们提出将交易配置为使用93,148 gwei
此外，个人B的攻击要比个人A的成功攻击提前大约十分钟。
个人A
个体A（https://etherscan.io/address/0x368a6558255bccac517da5106647d8182c571b23）已经通过@samczsun与我们联系，并提出退还DODO池中的资金。以下是有关个人A的行为的详细说明：
- 个体A与集中交换进行了交互。
- 个体A从币安撤回了0.46597 ETH：https ://etherscan.io/tx/0x970b32a8c81dd3fc47fa118621726fc418ec3526c4379470a4000ed7b448360f
- 个体A快速连续执行了7次BUSD提款交易（请参阅示例链接），可能涉及币安桥：https ://etherscan.io/tx/0x300de107cbca466abe121112848daaf7f5f0d15625d54773dd0bbbff4e276e93
- 个人A将其资金转移到另一个钱包地址。
- 个体A两次将67,416 BUSD转移到0xa305fab8bda7e1638235b054889b3217441dd645上：https : //etherscan.io/tx/0x306d08f3d8af85dfdea7a6edb336d7504e8ecc7c609e4b940d188ba68e11ee7f16e7f16e7b16f7c1e1e1e1e1e4e1e6e1e6e1e6e1e6e1e6e1e6e6e7e6e1e7e6e1e1e0e0e0e0e0e0e0e0b0e0b0ee
- 个体A两次将59,245.324743 USDT转移到0xa305fab8bda7e1638235b054889b3217441dd645：https ： //etherscan.io/tx/0xbee2f507b2f4b4321927a9762dac757df12fe1ba2d6f85314273b9ea542a5c13e2c9f2c9f2c9f2c9f2c9f2c9f2c2f9c2f2c9e2f2c2f2c2f2c2e2f2c2e2f2c2e2f2e3e6e3c6e2e6e6e6e6e6e6e9e9e9e9e9e0e9c0e9c0e0b0e0b0e0b0b0c
- 个体A针对DODO智能合约执行了两个漏洞利用。
- 第一个违反了DODO-USDT测试合同，并且资金转移到了0xa305fab8bda7e1638235b054889b3217441dd645：https ://etherscan.io/address/0x328410f276d4fe83fc78fa56ad32d9821a5e5c1c#tokentxns
- 第二个是违反WCRES-USDT合同的，资金已转移到0x56178a0d5f301baf6cf3e1cd53d9863437345bf9：https ://cn.etherscan.com/address/0x910fd17b9bfc42a6eea822912f036ef5a080be8a#tokentxns
- 资金现在在以下两个地址中：
个人B
个体B最有可能是机器人。怀疑的机器人智能合约为https://etherscan.io/address/0x00000000e84f2bbdfb129ed6e495c7f879f3e634，触发帐户地址为https://etherscan.io/address/0x3554187576ec863af63eea81d25fbf6d3f3f13fc。B个人针对DODO合同执行了3个漏洞利用：
- ETHA-USDT：https ://etherscan.io/tx/0x0b062361e16a2ea0942cc1b4462b6584208c8c864609ff73aaa640aaa2d92428
- WSZO-USDT：https ://etherscan.io/tx/0xff9b3b2cb09d149762fcffc56ef71362bec1ef6a7d68727155c2d68f395ac1e8
- vETH-WETH，具有93148 gwei：https ://etherscan.io/tx/0x561f7ccb27b9928df33fa97c2fb99ea3750593e908f9f0f8baf22ec7ca0c5c4a
资金目前在以下两个地址中：
- https://etherscan.io/address/0x00000000e84f2bbdfb129ed6e495c7f879f3e634
- https://etherscan.io/address/0x3554187576ec863af63eea81d25fbf6d3f3f13fc
附加条款
在DODO平台上的交易不受漏洞利用的影响。
已获得DODO批准的钱包地址不受漏洞利用的影响。
同样，如果您是以下地址的所有者，请与DODO小组联系：
-0x00000000e84f2bbdfb129ed6e495c7f879f3e634
-0x3554187576ec863af63eea81d25fbf6d3f3f13fc