˜
2022年6月9日，做市商Wintermute透露，Optimism发送给其做市的2000万个OP代币被黑客盗取。两周前，Optimism Foundation聘请Wintermute为其在中心化交易所上市的OP代币提供ý流动性。作为协议的一部分，Wintermute获·得了2000万枚OP贷款。
这2000万枚OP将被部署在Wintermuωte的Opti👿mism钱包。当Wintermute将钱包地址发给 Optimism团队时，发送的是Wintermute在主网上部署了一段时间的Gઽnosis Safe多签钱包地址。这里Wintermute犯了一个严重错误，因为控制Gnosis Safe多签钱包并不能保证控制EVM兼容链同一地址。
用户通常∨假设他们可以在以太坊上访问的任何帐户Ã也可以在其他基于EVM的链上访问。对于外部拥有的账户（也称为非合约账户），这通常是正确的。这不一定适用于智能合约↵账户。可以使用完全不同的代码在不同链上的相同地址创建合约，从而产生完全不同的所有者。
↑ EVM地址′分为EOA（外部拥有的账户）和CA（合约账户）。合约地址又有两种ਫ方式获得：
CREATE &nb…sp;new_a↵ddress = hash（sender， nonce） &nbsઙp;
CREATE2 new_address = hash（0xFF， se²nder， salt， bytecøode）
与CREATE2不同，通过CREATE创建的合约地ઍ址不是基于用于创建合ੜ约的代码，而仅基于创建ⓨ者地址的nonce。
1、13天前，Optimism团队从0x25地址测试发送1个OP给Wintermute发👽送给OpΔtimism团队⊇的地址0x4f
https：//optimistic.etherscan.ઞio/tokent੬xns？a=0x૯4f3a120e72c76c22ae802d129f599bfdbc31cb81&p=2
2、12天前，Optimism团ੌ队分两笔将1900万枚和100万枚ΒOP发送给Wintermࣻute。
直至此时，Wintermute还没有意识到他૯们没有这个地址的控制ણ权。Υ
3、Wintermd3;utષe Gnosis Safe多签钱包创建于561天前，
httíps://etherscan.io/tx/0xd705178d68551a6a6f65ca74363264b32150857૧a26dd62c27f3f96b8ec69ca01
多签合约地址为0xર76e2cfc1f5fa8f6a5b3fc4»∉c8f4788f0116861f9b。
从合约代码（https：//etherscan.io/address/0x7Ò6e2cfc1f5fa8f6a5b3fc4c8f4788f0116861f9b#codબe）可知是通过CREATE而Χ不是CREATE2创建的多重签名。
’ Ċc; 多签υ钱包地址即为0x4f。
4、4天前♧，攻击者将旧的êSafeΩ factory部署到Optimism。
并开始重复触发c reate函数以在L2上创建多重签名，进而控制了憨Optimism上的0Úx4f地址。
hણttps：//optimistic.etherscan.io/tx/0x00a3da68f0f6a69cb067f09c3f7e741a01636cbc27a84c603b468f6Ó5271d415b#int◐ernal
正如Kelvin Fichter所说，此事件不是Optimism或Gnosis Safe中任何漏洞的结果，而是源于在多链ਯ之前旧版本的Gnosis Safe中做出的（合理的）安全假设。
24ਫ小时滚动播报×最新的财经资讯和视频，更多粉丝福利扫描二维码关注（sinafinanΡce）
à
Ο新浪♩财经意见反馈留言板
All RÂights Reserved 新浪公司 દ版â权所有
