鏈捕手消息,波卡生態IDO平臺Polkatrain于今早發生事故,慢霧安全團隊第一時間介入分析,并定位到了具體問題,接下來以快訊的形式分享給大家,供大家參考分析。
慢霧:過去一周Web3生態系統因安全事件損失近160萬美元:6月26日消息,慢霧發推稱,過去一周Web3生態系統因安全事件損失近160萬美元,包括MidasCapital、Ara、VPANDADAO、Shido、Slingshot、IPO、Astaria。[2023/6/26 22:00:21]
本次出現問題的合約為Polkatrain項目的POLT_LBP合約,該合約有一個swap函數,并存在一個返傭機制,當用戶通過swap函數購買PLOT代幣的時候獲得一定量的返傭,該筆返傭會通過合約里的_update函數調用transferFrom的形式轉發送給用戶。由于_update函數沒有設置一個池子的最多的返傭數量,也未在返傭的時候判斷總返傭金是否用完了,導致惡意的套利者可通過不斷調用swap函數進行代幣兌換來薅取合約的返傭獎勵。?
慢霧:Grafana存在賬戶被接管和認證繞過漏洞:金色財經報道,據慢霧消息,Grafana發布嚴重安全提醒,其存在賬戶被接管和認證繞過漏洞(CVE-2023-3128),目前PoC在互聯網上公開,已出現攻擊案例。Grafana是一個跨平臺、開源的數據可視化網絡應用程序平臺,用戶配置連接的數據源之后,Grafana可以在網絡瀏覽器里顯示數據圖表和警告。Grafana根據電子郵件的要求來驗證Azure Active Directory賬戶。在Azure AD上,配置文件的電子郵件字段在Azure AD租戶之間是不唯一的。當Azure AD OAuth與多租戶Azure AD OAuth應用配置在一起時,這可能會使Grafana賬戶被接管和認證繞過。其中,Grafana>=6.7.0受到影響。加密貨幣行業有大量平臺采用此方案用來監控服務器性能情況,請注意風險,并將Grafana升級到最新版本。[2023/6/25 21:58:31]
慢霧安全團隊提醒DApp項目方在設計AMM兌換機制的時候需充分考慮項目的業務場景及其經濟模型,防止意外情況發生。
慢霧:yearn攻擊者利用閃電貸通過若干步驟完成獲利:2021年02月05日,據慢霧區情報,知名的鏈上機槍池yearnfinance的DAI策略池遭受攻擊,慢霧安全團隊第一時間跟進分析,并以簡訊的形式給大家分享細節,供大家參考:
1.攻擊者首先從dYdX和AAVE中使用閃電貸借出大量的ETH;
2.攻擊者使用從第一步借出的ETH在Compound中借出DAI和USDC;
3.攻擊者將第二部中的所有USDC和大部分的DAI存入到CurveDAI/USDC/USDT池中,這個時候由于攻擊者存入流動性巨大,其實已經控制CruveDAI/USDC/USDT的大部分流動性;
4.攻擊者從Curve池中取出一定量的USDT,使DAI/USDT/USDC的比例失衡,及DAI/(USDT&USDC)貶值;
5.攻擊者第三步將剩余的DAI充值進yearnDAI策略池中,接著調用yearnDAI策略池的earn函數,將充值的DAI以失衡的比例轉入CurveDAI/USDT/USDC池中,同時yearnDAI策略池將獲得一定量的3CRV代幣;
6.攻擊者將第4步取走的USDT重新存入CurveDAI/USDT/USDC池中,使DAI/USDT/USDC的比例恢復;
7.攻擊者觸發yearnDAI策略池的withdraw函數,由于yearnDAI策略池存入時用的是失衡的比例,現在使用正常的比例體現,DAI在池中的占比提升,導致同等數量的3CRV代幣能取回的DAI的數量會變少。這部分少取回的代幣留在了CurveDAI/USDC/USDT池中;
8.由于第三步中攻擊者已經持有了CurveDAI/USDC/USDT池中大部分的流動性,導致yearnDAI策略池未能取回的DAI將大部分分給了攻擊者9.重復上述3-8步驟5次,并歸還閃電貸,完成獲利。參考攻擊交易見原文鏈接。[2021/2/5 18:58:47]
本文發布于21世紀經濟報,原標題:金融縱深|比特幣挖礦江湖。虛擬幣挖礦,始于比特幣。2009年1月3日,比特幣創始人中本聰親手創建了第一個區塊——即比特幣的創世區塊,并獲得了系統自動產生的第一筆.
1900/1/1 0:00:00本文發布于白計劃,作者:Li。Gas費問題是目前以太坊1.0鏈面臨最嚴重的問題之一,盡管以太坊的算力很多,但任務能力因為區塊鏈的結構問題,以太坊在處理大量任務的時候會擁堵,擁堵后,Gas費會很高.
1900/1/1 0:00:00本文于3月24日發布在鏈聞,撰文為LeftOfCenter開源軟件和社區捐助平臺?Gitcoin?已正式開啟第9輪捐助活動,在為期2周的時間里.
1900/1/1 0:00:00鏈捕手消息,據SushiSwap官方表示,海外幣圈媒體Decrypt的SUSHI解鎖報道存在多處事實錯誤,誤導社區用戶和讀者;提到代幣解鎖,只提總金額卻不提分批解鎖,制造不必要的恐慌FUD.
1900/1/1 0:00:00鏈捕手消息,公鏈項目?CasperLabs?在其官方公眾號宣布,CasperAssociation與CoinList共同決定將從CasperAssociation儲備中額外分配6%的CSPR進行.
1900/1/1 0:00:00本文來自嗶嗶News,原文標題:《分布式存儲賽道八位選手,你梭哈了誰?》,作者:小牛。“FIL突破150美元,漲幅還能夠持續多久?”“比特幣表現平平,Filecoin的機會來了!”“STORJ這.
1900/1/1 0:00:00