BTC/HKD-0.06%
ETH/HKD-0.19%
LTC/HKD-0.29%
DOT/HKD-0.12%
ADA/HKD-0.52%
SOL/HKD-0.04%
XRP/HKD+0.01%
DOGE/US+0.23%前言
據鏈聞消息，DeFi項目YFValue發布公告稱，團隊于昨日在YFV質押池中發現一個漏洞，惡意參與者借此漏洞對質押中的YFV計時器單獨重置。目前已有一個惡意參與者正試圖借此勒索團隊。慢霧安全團隊對此進行了深入分析，以下是相關技術細節。
細節分析
分析了一大堆，回到我們最初的問題，惡意的用戶是怎么鎖定其他用戶的資產的呢？
回到用戶抵押的邏輯，可以發現抵押邏輯中的stakeOnBehalf函數本意是幫助進行抵押，但是這里有個問題，如果這個用戶先前已經有抵押了呢？那通過對已經抵押的用戶再次進行抵押，比方說抵押1個YFV，是不是就能以極低的成本重置已抵押的用戶的計時器，導致用戶在withdraw時無法成功調用。更進一步，假設YFV抵押用戶已經成功調用了stakeReward函數，在快要達到unfrozenStakeTime所規定的時間時，惡意的用戶可以通過stakeOnBehalf函數給這個用戶抵押少量資產，即可再次對抵押獎勵進行鎖定，理論上這樣往復循環，即可使用戶無法取出自己的資產，但這個問題并不會導致資金損失。攻擊流程如下：
前車之鑒
這是本月出現的第二個沒有經過審計的DeFi項目所暴露出的風險，根據YFValue的官方聲明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，項目代碼是由富有經驗的開發者進行開發的，同時借鑒了其他成功的項目的代碼，但是仍無可避免的出現了風險。術業有專攻，安全審計一方面需要項目方的正向思維，另一方面，還是需要專業的安全團隊的逆向思維，從專業的黑客角度進行模擬對抗，發現問題。
修復方案
通過分析代碼和漏洞細節，針對本次漏洞，修復方案也很簡單，只要在抵押的時候檢查用戶的抵押狀態是否為已經抵押，如果已經抵押，則不允許再次抵押。或者對每次的抵押進行單獨的處理，不能對先前的抵押狀態產生影響。
Tags：STAKSTASTAKEVALSUPERSTAKEStartcoinpstake幣能漲到多少美元BitValley
現在Filecoin大礦工測試已經敲定為2020年8月25日。Filecoin的熱度不再多說,遲遲不上線主網,不但沒有磨去大家的熱情,反而吊足了礦工的胃口。大礦工測試之后緊接著就是主網上線.
1900/1/1 0:00:00盡管美國證監會在2018年6月的一次報告中,曾經認為Ethereum不是一種證券,但社區中依然經常會出現相關的辯論,特別是在牛市的前夜.
1900/1/1 0:00:00作者：DeFiPulse 翻譯：Lily 今天,我們采訪了UMA的聯合創始人AllisonLu,她談到了她和她團隊的使命,即通過合成資產代幣、去中心化預言機和無價的金融合約為所有人帶來市場準入.
1900/1/1 0:00:00這兩天板塊的輪動效應出現了,波卡及其生態內的代幣和同為跨鏈題材的ATOM等出現了暴漲。于是網上很多朋友問波卡及ATOM等代幣是否值得投資？關于一個項目的代幣是否值得投資,我在8月15日的文章《面.
1900/1/1 0:00:00轉自：四川經濟網簽約現場 8月22日-23日,由成都市新經濟委、市科技局及成都市成華區人民政府指導.
1900/1/1 0:00:00yearn創始人AndreCronje今日發文宣布推出去中心化的保險類服務原型yinsure.finance,將于接下來的幾周里系統性地發布產品.
1900/1/1 0:00:00
以太坊交易所
internal{</p>
<p> 分析 | BTC伴隨算力加快上升，大戶持倉比持續升高:據TokenInsight數據顯示，反映區塊鏈行業整體表現的TI指數北京時間09月13日8時報739.59點，較昨日同期上漲13.03點，漲幅為1.79%。此外，在TokenInsight密切關注的25個細分行業中，24小時內漲幅最高的為人工智能行業，漲幅為2.51%；24小時內跌幅最高的為治理協議行業，跌幅為7.58%。 </p>
<p> 據監測顯示，BTC 24h交易額為$153億，活躍地址數較前日下降0.44%，轉賬數較前日上升2.68%。BCtrend分析師Jeffrey認為，BTC伴隨算力加快上升，大戶持倉比也持續升高，短期或將延續震蕩上行。 </p>
<p> 另據Bituniverse智能AI量化分析，今日行情可開啟EOS/BTC幣幣網格交易，區間0.0002245-0.0004639 BTC，同時賺取兩幣超額收益。 </p>
<p> 注：以上內容僅供參考，不構成投資建議。[2019/9/13]</p>
<p> _totalSupply=_totalSupply</p>
<p> 分析 | 黑客掀起“奪寶”拉鋸戰 Fomo3D類游戲頻受阻塞攻擊:據PeckShield數據監測中心顯示，8月23日，昨日Fomo3D 10,469個ETH的獲得者“0xa169”，開始在多款類Fomo3D游戲（Last Winner、Peach Will、Super Card）上部署攻擊合約。 </p>
<p> 在山寨Fomo3D（Peach Will）的交易列表里，0xa169至少發起了10次以上的阻塞攻擊。由于該黑客通過提高gasprice獨霸礦池打包權的攻擊行為已經被曝光，每當其同時用15個錢包地址一并發出交易伺機擁堵以太坊網絡時，就會有“競爭者”以更高的gasprice阻斷其攻擊合約實施擁塞控制。 </p>
<p> PeckShield分析人員認為，這樣已經嚴重損害了該類游戲的可玩性，使其淪為黑客間互相競技的搏斗場。長此以往，會透支游戲公信力，加速Fomo3D類游戲的衰亡。[2018/8/23]</p>
<p> 可以看到這里只是簡單的把對應的token用transferFrom的方式轉入到合約中，沒有什么特別的邏輯點。到這里整個抵押流程就很清晰了，接下來是收益的過程。計算用戶收益的是stakeReward函數，領取收益的為withdraw函數，代碼分別如下：</p>
<p> 分析 | BTC等十種數字貨幣風險均大于回報:據金色獨家數據采集，在過去90天內，BTC、ETH 等十種數字貨幣的夏普比率（風險收益比率）如下圖。其中，0軸以下表示風險大于回報，0軸以上表示回報大于風險。從圖中可以看出，過去90天內，DASH的風險率最大，ETC的風險率最小。[2018/8/16]</p>
<p> functionstakeReward()publicupdateReward(msg</p>
<p> 通過分析計算收益和領取收益的代碼，發現邏輯也很簡單，stake函數首先是通過updateReward修飾器更新了用戶的獎勵，然后使用getReward函數計算了用戶的獎勵，并把抵押時間設置成當前區塊時間。最后，用戶在提取獎勵的時候，withdraw函數會首先計算當前的區塊時間，再與unfrozenStakeTime函數中計算出的時間進行對比，只有當前區塊時間大于unfrozenStakeTime計算出的時間，才允許提現。unfrozenStakeTime的代碼如下：</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 從代碼中得知，unfrozenStakeTime是使用用戶的上次抵押時間加上FROZEN_STAKING_TIME常量得出鎖定時間，只要超過時間，就能通過withdraw函數提現收益。整個抵押和領取收益的簡化流程如下：</p>
<p> <img alt=)