BTC/HKD-0.56%
ETH/HKD-0.23%
LTC/HKD+1.27%
DOT/HKD+1.01%
ADA/HKD-0.53%
SOL/HKD-0.55%
XRP/HKD+0.78%
DOGE/US-1.86%2020年11月30日，據慢霧區情報，以太坊AMM代幣兌換協議SushiSwap遭遇攻擊，損失約1.5萬美元。慢霧安全團隊第一時間介入分析，并以簡訊的形式分享，供大家參考。
背景提要
SushiSwap項目中SushiMaker合約的作用是用于存放SushiSwap中每個交易對產生的手續費。其中手續費會以SLP(流動性證明)的形式存放在合約中。SushiMaker合約中有一個convert函數，用于將從每一個交易對中收集的手續費通過調用各自交易對的burn函數獲得對應的代幣，然后將這些代幣轉換成sushi代幣，添加到SushiBar合約中，為SushiBar中抵押sushi代幣的用戶增加收益，而此次的問題就出在SushiMaker合約。
Fidenza #158 NFT以212枚ETH成交:6月12日消息，北京時間 6 月 12 日 10:27:59，由藝術家 Tyler Hobbs 創作的 Fidenza 系列 Fidenza #158 NFT 以 212 枚 ETH（約 37 萬美元）成交。[2023/6/12 21:31:17]
攻擊流程
1、攻擊者選中SushiSwap中的一個交易對，如USDT/WETH，然后添加流動性獲得對應的SLP(USDT/WETH流動性證明，以下簡稱SLP)，使用獲得的SLP和另外的少量WETH創建一個新的SushiSwap交易對，然后得到新代幣池的SLP1(WETH/SLP(USDT/WETH)流動性證明，以下簡稱SLP1)轉入?SushiMaker合約中。
Life DeFi宣布集成1inch:金色財經報道，去中心化金融生態系統Life DeFi宣布與去中心化交易所聚合器1inch集成。該項合作為用戶提供了增強的流動性、無縫的多鏈交換。Life DeFi 用戶現在可以訪問 1inch 的流動性聚合器，確保在交換數字資產時將滑點降到最低并降低費用。該集成擴展了多鏈功能，實現了跨不同區塊鏈網絡的資產交換。[2023/5/19 15:14:08]
2、調用SushiSwap的convert函數，傳入的token0為第一步獲得的SLP，token1為WETH。調用convert函數后，SushiMaker合約會調用token0和token1構成的代幣池的burn函數燃燒SLP1，燃燒掉攻擊者在第一步中打入SushiMaker合約中的SLP1，得到WETH和SLP。
數據主權同步應用xSync現已支持Twitter，推文可同步至Crossbell鏈上:11月5日消息，由Crossbell團隊開發的數據主權同步應用xSync現已支持Twitter和Medium平臺，可以將用戶發布在Twitter和Medium上的內容自動并且免費的同步至Crossbell區塊鏈上。xSync對于Twitter內容的集成，是針對團隊此前發布的CrossSync升級版本，采用了全新的推文同步方式，提供更便利易用的工具，來保護用戶數據主權。據悉，Crossbell是由RSS3母公司NaturalSelectionLabs 開發的社交Layer1 公鏈。[2022/11/5 12:20:39]
3、SushiMaker合約的convert函數緊接著會調用內部的_toWETH函數將burn獲得的代幣轉換成WETH，由于在第二步SushiMaker合約通過burn獲得了SLP和WETH。其中WETH無需轉換，只需轉換SLP。此時，轉換將會通過調用SLP/WETH交易對進行轉換，也就是攻擊者在第一步創建的交易對。由于SushiMaker合約在轉換時會將所有的balanceOf(token0)轉換成WETH，這里傳入的token0為SLP，于是合約將合約中所有的SLP通過SLP/WETH交易對進行兌換(兌換的SLP包含USDT/WETH交易對每次swap產生的收益和在第二步合約通過burn函數獲得的SLP)。而SLP/WETH代幣池是攻擊者創建的，攻擊者只需在初始化的時候添加少量的WETH，就可以在SushiMaker交易對進行兌換的過程中，用少量的WETH換取SushiMaker合約中對應交易對的所有的SLP。
4、攻擊者使用burn函數在SLP/WETH交易對中燃燒掉自己的SLP1,拿到大量的SLP和小量的WETH，并繼續對其他流動性池重復該過程，持續獲利。
總結
攻擊者使用SLP和WETH創建一個新的代幣池，使用新代幣池的SLP1在SushiMaker中進行convert，使用少量的SLP將SushiMaker合約中的所有SLP轉到自己創建的代幣池中，即將對應交易對一段時間內的所有手續費收入囊中。并對其他交易對重復這個過程，持續獲利。
By:??慢霧安全團隊
Filecoin以Web3.0為終,以落地應用為始。而Arweave、Burst、Bluzelle等項目,很多都是概念先行,通證釋放流通、項目真實落地規劃相對比較久遠,遲遲難以落地.
1900/1/1 0:00:00?一直在做期貨交易,卻始終在虧錢,究竟是哪里出錯了呢？是技術不成熟還是倉位不夠大？相信這是許多期貨交易者遇到的問題,一直在學各式各樣的信號卻始終無法獲利,其實會虧損最重要的一點.
1900/1/1 0:00:00這里是IPFS資訊快車,想進filecoin技術交流群的以及與圈內大佬深入溝通,或者了解更多FIL資訊,深入了解FIL的(+V:FIL101).
1900/1/1 0:00:00親愛的大幣網(Dcoin)用戶：DASH節點升級已經完成,DASH的充值和提現功能現已恢復。暫停期間給您帶來的不便,敬請諒解,感謝您對大幣網(Dcoin)的支持！大幣網(Dcoin)全球運營團隊.
1900/1/1 0:00:00IPFS作為下一代互聯網底層通信協議,自發布以來已經成功應用在數據存儲、文件傳輸、網絡視頻、社交媒體、去中心化交易等各個領域。基于IPFS搭建的APP、應用和平臺等,正在重構整個互聯網.
1900/1/1 0:00:00曾幾何時,挖礦還僅僅只是極客和部分區塊鏈技術開發人員之間的娛樂。但隨著資本的涌入,加密貨幣世界越來越多的涉足金融世界,不管我們喜不喜歡,挖礦作為新興行業迅猛發展已成事實.
1900/1/1 0:00:00
以太坊交易所
