比特幣行情 比特幣行情
Ctrl+D 比特幣行情
ads

TOK:TokenPocket閃兌服務商被盜,快檢查你開通了多少“無限授權”

Author:

Time:1900/1/1 0:00:00

今日,跨鏈DEX聚合器TransitSwap遭受攻擊,導致大量用戶的資金從錢包中被取出。截至目前,預計損失超2300萬美元。發現被盜后,TransitSwap技術團隊緊急暫停服務,合約已完全暫停,無法進行任何操作。發稿前TransitSwap官方發布公告稱,此前黑客攻擊事件原因系代碼錯誤,目前已確定黑客IP、電子郵件地址,以及相關的鏈上地址。TransitSwap團隊表示將盡力追蹤黑客,并嘗試與黑客溝通,幫助用戶挽回損失。慢霧分析,此次攻擊的主要原因在于TransitSwap協議在進行代幣兌換時并未對用戶傳入的數據進行嚴格檢查,導致了任意外部調用的問題。具體而言,路由合約本身沒有對transferFrom參數進行任何限制、也并未對解析后的兌換合約地址與調用數據進行檢查。攻擊者利用路由代理合約、路由橋合約與權限管理合約均未對傳入的數據進行檢查的缺陷,通過路由代理合約傳入構造后的數據調用路由橋合約的callBytes函數,實現了竊取所有對權限管理合約進行授權的用戶的代幣。目前黑客已將2500BNB轉移到TornadoCash,剩余資金分散保留在黑客地址中。經過黑客痕跡分析發現,黑客存在從LATOKEN等平臺存提款的痕跡。此外,安全團隊PeckShield已確認黑客資金流向。

Tokenproof:通過BendDAO質押BAYC/MAYC且有活躍貸款的用戶也可領取香港ApeFest門票:金色財經報道,據Tokenproof官推發布消息稱,通過ParaSpace和BendDAO質押BAYC或MAYC且有活躍貸款的用戶也可以領取香港ApeFest門票。另據BAYC官推此前稱,香港ApeFest門票將于當地時間7月27日八點開放申領,BAYC和MAYC NFT持有者可通過Tokenproof APP免費領取。[2023/7/26 16:00:37]

與此前被盜項事件不同的是,TransitSwap是TokenPocket錢包的閃兌服務提供商。這讓大量用戶實現了“無感被盜”的絲滑體驗,也再一次向我們明確了加密市場“黑暗森林”的恐怖法則,即使是錢包背書的便捷“閃兌”服務,依然存在被盜隱患。什么是閃兌?

風險投資基金公司Penguin推出Token化投資平臺“Penguin Token”:金色財經報道,總部位于阿聯酋的風險投資基金公司 Penguin 宣布在 BSC 區塊鏈上推出 Token 化投資平臺“Penguin Token”,該平臺為投資者提供多元化的加密資產、傳統投資和風險投資機會組合,并利用其實用型原生 Token “WAK” 為加密貨幣和 NFT 市場提供服務,包括 Penguin NFT 開發、推出 NFT Launchpad 和智能錢包等。[2023/1/28 11:33:27]

目前,幾乎所有錢包都嵌入了DeFi功能,而一些錢包出于易用性的考量,更是創造了“閃兌”這一概念并加以應用。所謂閃兌,即和錢包深度整合,在產品中擁有更明顯的獨立入口、更簡化的操作流程,更便捷的操作。使用閃兌用戶可以方便、快速的完成加密資產交易。例如,“Approve”操作通常被簡單的一鍵式集成在交易流程中,用戶幾乎是無感的。或是因錢包內置集成,用戶對其天然更具信任,也一定程度降低了防范意識。但究其本質,無外乎是錢包app集成的一款DEX,與其他DEX并無差異。這也給本次安全事件留下了隱患。

Multichain提出新治理Token veMULTI提案:4月7日消息,跨鏈橋協議 Multichain(原 AnySwap)提出新治理 Token veMULTI 提案,計劃未來提案通過 veMULTI 治理投票提出。veMULTI 由用戶質押 MULTI 獲得,MULTI 質押數量和鎖倉時長決定獲得數量。

除安全基金預留的 10% 過橋費外,剩余 Q1 過橋費的 50% 將分配給 veMULTI 質押者,Q2 和未來的費用獎勵將由 multiDAO 新提案決定。據悉,veMULTI 將在第二季度上線。[2022/4/7 14:09:55]

合約授權潛藏了多少風險?

“沒有人可以強行拿走你的加密資產”,是投資者對區塊鏈特性的一種廣泛共識。鏈上資產一旦被錢包所有,沒有任何強制手段將其轉移。但當我們使用DEX進行鏈上交易之時,DEX是如何將一種資產拿走再轉移給你另一種資產的?授權就成為了這一切的關鍵。用戶于DEX出售資產之前,需先執行“Approve”操作,這一操作之后合約便擁有了動用用戶某種代幣的權限。或者描述的更加直白一些:只要你做了授權,無需打開錢包、無需執行操作、無需私鑰,該合約就可以不經你的許可,支配你授權的資產。這是由以太坊的機制和授權模型所決定的,與項目方的道德操守、安全規范、代碼審計都并無任何關系。

TokenBetter將對NULS持有者進行NVT空投:據官方公告,TokenBetter將會支持NULS持有者接收NVT(NerveNetwork)的空投。計劃在NULS主網高度2620000時(大約2020年7月12日)進行快照,并對NULS持有人按照10NULS:1NVT比例空投。[2020/6/16]

審計=安全?

即使授權之后合約擁有轉移加密資產的能力,但這種能力只在合理的范圍內使用,這依然是安全的。而如果經過可信安全機構審計,是否即表示這種能力不會被濫用,只在用戶進行交易時轉走交易額的必要資產?靜態來看,這一邏輯是成立的。就如同Uniswap盡管擁有隨時將用戶錢包清空的能力,但并不會真的這么做一樣。但動態來看,這一邏輯依然是危險的。現代軟件開發,升級是一項必不可缺的能力。智能合約也是如此。在Solidity智能合約中,擁有Transparent和UUPS兩種升級方法,借助于這兩個功能,合約代理和升級幾乎是業界合約的標配。項目方是如何進行合約升級的呢?通常,用戶所訪問的合約并非直接運行業務邏輯的核心合約,而是一個“代理合約”,代理合約接收到用戶請求之后將其轉發到核心的業務合約,再由業務合約進行處理。而合約升級即是更換掉最終轉發至的業務合約。簡單來說,智能合約盡管不可修改,但用戶所最終訪問的、運行業務邏輯的合約是可以替換的。這也是業界的通用做法。而即便是最安全的合約,只要進行“合約升級”,其業務合約就已發生變化,此前的審計報告也淪為了一張廢紙。簡單來說,今天你所交互的合約是安全的,但明天訪問同樣的這個項目,可能他的安全性已經發生根本性改變。合約仍可能擁有轉走你所有已授權資產的能力。

分析 | TokenInsight:穩定幣7日日均交易量較上周均減少:據TokenInsight數據分析顯示,交易量較大的5種穩定幣(USDT、PAX、TUSD、USDC和DAI)中,7日日均交易價格較上周微幅調整,除USDC日均交易價格較上周增加0.36%外,其余4種穩定幣日均交易價格均減少,其中DAI日均交易價格較上周減少1.09%。交易量方面,5種穩定幣日均交易量較上周均不同程度減少,其中DAI降幅居首達32.59%,TUSD降幅居次達26.15%。市場供應量方面,除USDC日均供應量較上周減少8.29%外,其余4種穩定幣日均供應量較上周小幅增加,其中PAX日均供應量較上周增加3.45%。 獨立分析師 Lewis 認為,因本周通證市場行情走勢整體偏弱,穩定幣日均交易量較上周顯著減少。[2019/1/25]

無限授權有多危險?

所幸的是,授權并不代表用戶隨時暴露于錢包清空的危險中下。授權機制還有一個重要規則即是授權是含有數量的。用戶“Approve”合約一定數量的代幣,合約最多只能動用這些數量,即使是錢包里該代幣數量再多,合約也已無法動用。但危險的是,大多數DeFi合約都在無所顧忌索取用戶的“無限授權”,即在默認情況下,用戶所Approve的代幣數量為無限。

用戶如何防范?

沒有授權就沒有安全隱患。在執行鏈上操作之時,如需執行Approve操作,用戶應遵循“用多少、授多少”的原則。如果我只需賣出1000TOKEN,那即應手動修改Approve金額為1000。在計算合約轉移金額時是累積的,即若只授權1000、本次金額恰好交易了1000,合約授權額度恰好已耗盡。即使日后合約出現安全風險,也已無法再從用戶錢包中轉移走任何資產。

而對已經授權的用戶來說,還可發起取消授權操作。常用取消授權網站如下:1.Dappstar:https://tac.dappstar.io/#/2.Revoke:https://revoke.cash/3.Approved.zone:https://approved.zone/4.RabbyWallet此外,一些區塊鏈瀏覽器也支持用戶查看并取消授權。https://cn.etherscan.com/tokenapprovalcheckerhttps://bscscan.com/tokenapprovalchecker

DeFi被盜,誰的責任?

“黑暗森林”是廣為流傳的對于鏈上秩序的敘述了,也提醒著用戶這個世界的危險性和高風險。但諸如此類的安全事件一再發生,真的可以全部歸責于用戶的安全意識嗎?在此類事件中,DeFi項目對于用戶授權毫無節制的索取是隱患的最初來源,幾乎所有的項目,在索取授權之時其默認選項都是無限授權。盡管用戶可以手動修改,但一個負責任的市場應承擔投資者保護和用戶教育的責任。至今,仍有多少加密用戶尚不清楚授權的危險?而在這種環境背景之下,項目方仍在索取危險極大的無限授權。DeFi濫用授權的情況早已成為業界慣例,而這一高危情況幾乎危及所有用戶的天量資產,其影響之深遠、廣泛、隱患之巨,恐怕尚未有一個安全隱患可以望其項背。該風險從根本上違背了“沒有人可以拿走錢包里的幣”這一樸素的直覺。這也是行業需要一直面臨的風險和挑戰。被盜事件發生后,神魚就已在推特做出呼吁,“呼吁一下項目方規范使用授權功能,用多少授權多少,不要無限授權,大家都放心。”去中心化充滿著機會與風險。還記得加密技術最初的愿景嗎?“保護你的資產,沒有人可以奪走你錢包里的加密貨幣。”而一個良性秩序的建立,需要的不是復雜的代碼、晦澀的概念,確保每一個普通用戶都能安全的使用加密技術,仍然需要行業里每一個參與者共同的努力。

Tags:TOKTOKENTOKEKENGlobal AEX TokenLegia Warsaw Fan Tokenimtoken官網地址Immopet Token

比特幣行情
NFT:盤點12個值得關注的世界杯概念板塊項目

距離世界杯還有不到一個月的時間,與之相關的加密領域也開始活躍起來。自體育代幣誕生起,世界杯就不僅僅是足球粉絲的節日,更是加密投資者的狂歡。目前,各大交易所都在爭相布局體育代幣和足球主題NFT.

1900/1/1 0:00:00
數字資產:法國第三大銀行Société Générale獲準運營數字資產服務

Odaily星球日報譯者|念銀思唐 摘要: -法國銀行業巨頭SociétéGénérale已獲準通過其子公司Forge運營數字資產服務。-法國監管機構的這一裁決使其能夠托管、出售和交易數字資產.

1900/1/1 0:00:00
ENT:雙周融資速遞 | 66家項目獲投;已披露融資總額約13億美元(9.26-10.10)

經Odaily星球日報不完全統計,9月26日-10月10日雙周公布的海內外區塊鏈融資事件共66起,已披露融資總額約為13億美元.

1900/1/1 0:00:00
EVE:Vitalik:探索公共物品資金分配優先次序Revenue-Evil曲線

公共物品在任何大規模生態系統中都是一個非常重要的話題,但通常也是一個難以定義的話題。這里有三種不同的定義:經濟學家:非排他性和非競爭性物品,這兩個技術術語合在一起意味著很難通過私有財產和基于市場.

1900/1/1 0:00:00
ODA:星球日報 | APT女巫地址占比超65%;MetaMask推出MetaMask SDK(10月21日)

頭條 數據:超過1630萬枚APT已充值到幣安,女巫地址占比超65%Odaily星球日報訊根據X-explore的分析,截至北京時間10月19日20:00.

1900/1/1 0:00:00
LOC:BlockTower推出1.5億美元新基金,將重點投資DeFi與加密基礎設施公司

Odaily星球日報譯者|念銀思唐 摘要: -BlockTower悄然推出規模1.5億美元的新風險基金,投資方包括BPIFrance和MassMutual.

1900/1/1 0:00:00
ads