比特幣行情 比特幣行情
Ctrl+D 比特幣行情
ads
首頁 > USDC > Info

JAR:星球前線|DeFi協議Pickle Finance因漏洞損失近2000萬美元

Author:

Time:1900/1/1 0:00:00

本文來自TheBlock、CointelegraphOdaily星球日報譯者|余順遂

據TheBlock報道,DeFi協議PickleFinance在周六的一個漏洞中損失近2000萬美元的DAI。據悉,該漏洞利用涉及PickleFinance的DAIpJar策略,該策略利用Compound協議通過DAI存款來獲得收益。來自該漏洞的資金已被轉移到地址0x70178102AA04C5f0E54315aA958601eC9B7a4E08。根據Cointelegraph報道,就PickleFinance因漏洞損失近2000萬美元一事,白帽黑客、DeFiItaly聯合創始人EmilianoBonassi表示,攻擊者部署了“邪惡Jar”,這是一種具有傳統Jar的相同界面、但是卻作惡的智能合約。隨后,攻擊者在他的“邪惡Jar”和真正的cDAIJar之間交換了資金,偷走價值2000萬美元的存款。

網易星球推出首屆元宇宙藝術展,全新數字藏品即將發布:5月13日消息,網易星球將于5月16日正式上線數字藏品2.0版本,首次發售以潮流藝術為主題的系列數字藏品。網易星球將攜手復星集團BFC閱外灘、杭州市慈善總會、南京夫子廟文化旅游集團等產業合作方,共同打造“2022網易星球首屆元宇宙藝術季”。[2022/5/13 3:13:05]

官方回應:鼓勵LP從Jar中提取資金,直到問題解決

11月22日,PickleFinance發推稱,有報道說我們的DAIPickleJar策略已被利用。我們正在積極調查此事,并將提供進一步的更新。我們鼓勵所有LP從Jar中提取資金,直到問題得到解決。具體操作如下:

1)從農場解押:訪問https://vfat.tools/pickle/,連接您的錢包。向下滾動找到您的農場,然后單擊UNSTAKE。這也將申領您的Pickle獎勵。您現在必須從您的Jar里解押。2)從Jar取款:訪問https://github.com/pickle-finance/contracts#pickle-jars-pjars,找到您的Jar,然后單擊“PickleJar”列表下的藍色鏈接。

聲音 | 網易星球顧費勇:希望能推動“區塊鏈+場景”真正落地:網易星球負責人顧費勇表示,相信在網易星球公測2.0發布的個人數據護照模式上會產生新的商業模式,目前基于區塊鏈并沒產生新的商業模式,只是在現有商業模式上重新做分配。阿里和百度布局區塊鏈的做法并不適用于網易,星球的布局,目前一方面是區塊鏈和場景的結合,另一方面就是NBaaS的嘗試。[2018/9/17]

3)在代表Jar的Etherscan頁面上,單擊CONTRACT->WRITECONTRACT->CONNECTTOWEB3。您會看到一個彈出框。點擊“OK”。如果它不能連接,再次點擊“CONNECTTOWEB3”,然后就會連接。4)進入Option15,點擊藍色按鈕“WRITE”。然后像平常一樣完成您的Metamask交易。5)對所有需要提取資金的Jar重復這個過程。后續更新

動態 | 網易星球數據護照開始公測:網易星球宣布,推出數據護照,將數據上鏈,構建數字身份。[2018/9/7]

22日下午,慢霧安全團隊表示第一時間跟進了相關事件并進行分析,以下為分析簡略過程:1.項目的Controller合約中的swapExactJarForJar函數允許傳入兩個任意的Jar合約地址進行代幣的兌換,其中的_fromJar、_toJar、_fromJarAmount、_toJarMinAmount都是用戶可以控制的變量,攻擊者利用這個特性,將_fromJar和_toJar都填上自己的地址,_fromJarAmount是攻擊者設定的要抽取合約的DAI的數量,約2000萬DAI。2.使用swapExactJarForJar函數進行兌換過程中,合約會通過傳入的_fromJar合約和_toJar合約的token()函數獲取對應的token是什么,用于指定兌換的資產。而由于_fromJar合約和_toJar合約都是攻擊者傳入的,導致使用token()函數獲取的值也是可控的,這里從_fromJar合約和_toJar合約獲取到的token是DAI。3.此時發生兌換,Controller合約使用transferFrom函數從_fromJar合約轉入一定量的的ptoken,但是由于fromJar合約是攻擊者控制的地址,所以這里轉入的ptoken是攻擊者的假幣。同時,因為合約從_fromJar合約中獲取的token是DAI,然后合約會判斷合約里的資金是否足夠用于兌換,如果不夠,會從策略池中贖回一定量的代幣然后轉到Controller合約中。在本次的攻擊中,合約中的DAI不足以用于兌換,此時合約會從策略池中提出不足的份額,湊夠攻擊者設定的2000萬DAI。4.兌換繼續,Controller合約在從策略池里提出DAI湊夠攻擊者設定的2000萬DAI后,會調用_fromJar的withdraw函數,將攻擊者在第三步轉入的假ptokenburn掉,然后合約判斷當前合約中_toJar合約指定的token的余額是多少,由于_toJar合約指定的token是DAI,Controller合約會判斷合約中剩余DAI的數量,此時由于第三步Controller合約已湊齊2000萬DAI,所以DAI的余額是2000萬。這時Controller合約調用_toJar合約的deposit函數將2000萬DAI轉入攻擊者控制的_toJar合約中。到此,攻擊者完成獲利。總結:此次攻擊中,攻擊者通過調用Controller合約中的swapExactJarForJar函數時,偽造_fromJar和_toJar的合約地址,通過轉入假幣而換取合約中的真DAI,完成了一次攻擊的過程。此外,針對PickleFinance攻擊事件,審計公司Haechi澄清稱,我們10月進行了一次審計,但是攻擊者利用的漏洞發生在新創建的智能合約中,而不是接受安全審計的智能合約中。與此次漏洞攻擊相關的代碼是“controller-v4.sol”中的“swapExactJarForJar”;而此前的安全審計是針對“controller-v3.sol”,不包含“swapExactJarForJar”。在不久的將來,Haechi將發表關于PickleFinance攻擊事件的分析文章。

玩家網將于2月11日下午15:30開放章魚星球積分星合約:玩家網將于2月11日下午15:30開放A股上市公司2345發行的章魚星球積分星合約,據理解積分星總量15億[2018/2/10]

Tags:JARDAICONNTRJARED幣Daily COPContents ProtocolDecentralized

USDC
DOT:成為一條波卡平行鏈到底需要多少錢,競選平行鏈失敗又該怎么辦?

近期波卡生態關于平行鏈的好消息接踵而至,波卡官方首先預告了將在年底12月3日的Decoded大會上宣布有關平行鏈的最新進度.

1900/1/1 0:00:00
XRP:XRP近期的漲勢為何如此兇猛?

近日群內粉絲紛紛關注XRP這個“千年老三”,對于它兇猛的漲勢感到好奇,經過研究后,今天對XRP做一個分析.

1900/1/1 0:00:00
比特幣:分析:全球主要的加密期貨市場可能面臨監管改革

編者按:本文來自Cointelegraph中文,作者:SAMBOURGI,Odaily星球日報經授權轉載.

1900/1/1 0:00:00
DEFI:并非閃電貸攻擊,“幕后元兇”是它

近日,DeFi市場經歷了一場嚴峻的考驗,多起攻擊事件接連發生,造成了巨大的資產損失。在多數安全事件中,閃電貸攻擊的“冠名”似乎成為了標配.

1900/1/1 0:00:00
區塊鏈:“十四五”政策制定窗口期,盤點規劃建議中的區塊鏈

編者按:本文來自金色財經,Odaily星球日報經授權轉載。自區塊鏈上升到國家戰略以來,區塊鏈作為一項“去中心化”的新興技術一直備受關注。區塊鏈被納入“新基建”范圍以后,這種趨勢更加明顯.

1900/1/1 0:00:00
比特幣:鏈上指標顯示比特幣中期走勢依舊強勁

三個鏈上指標以及交易量趨勢表明,比特幣整體的需求正在上升:比特幣活躍度上升,機構交易量增長,并且比特幣在周線月線的高時間框架上都突破了15000美元.

1900/1/1 0:00:00
ads