時值國慶大假期間,加密錢包初創公司ZenGo的研究員亞歷克斯·馬努斯金爆料稱,有用戶一夜之間損失了價值14萬美元的Uniswap代幣UNI,而這與名為UniCats的“收益農場”有關。據了解,一些參與DeFi提供流動性挖礦賺取收益的用戶最近發現了UniCats這個新農場。從界面來看,UniCats類似YamFinance和SushiSwap;收益方面,不僅可挖礦本地MEOW代幣,同時還可挖出包括UNI在內的其它代幣。界面友好,產能不賴,資產入場。當用戶準備提供流動性時,UniCats彈出提示框,要求獲取消費限制許可,而該許可的限制是:無限。用戶可能怎么也不會想到,在這個無限消費的許可的背后,UniCats開發者早已暗置了一個直通自家資產的“后門”。用戶的資產可由此被悄悄轉移至開發者指定的地址。就這樣,有大膽且不幸的“農夫”瞬間被竊取了價值14萬美元的UNI,而其他用戶也有不同程度的損失。盜竊“現場”
Plutos Network將集成UniLend貨幣市場:據官方消息,多鏈合成資產交易協議Plutos Network宣布將集成UniLend的貨幣市場,以為用戶增加流動性,這將有助于改善Plutos Network的交易體驗。[2021/7/17 0:59:14]
那么,UniCats開的這個“后門”,又是如何對用戶進行竊金操作的呢?1、盜竊者首先將UniCats的owner權限轉移給一個合約地址。2、盜竊者通過獲得owner權限的合約地址調用UniCats的setGovernance方法。3、setGovernance函數調用對于代幣的transferFrom函數,將用戶資產轉移到盜竊者地址。第2、3步為此次盜竊的核心步驟,如下圖所示:
將Uniswap V3部署到Arbitrum的社區投票已通過:金色財經報道,將Uniswap V3部署到以太坊擴容方案Arbitrum的社區投票已通過。社區已經表達了他們的興趣,現在投票轉向了共識檢查,該檢查將圍繞將Uniswap v3代碼部署到Arbitrum網絡的提案進行正式討論。[2021/5/29 22:54:07]
“后門”分析
UniCats合約中的setGovernance函數是實現盜竊的關鍵。通過調用此函數,UniCats合約即可作為調用者,能夠向任意合約發起任意調用。
Bybit推出ADA、UNI及DOT永續合約:加密貨幣交易所Bybit推出Cardano(ADA)、Uniswap(UNI)及Polkadot(DOT)永續合約,允許最高達25倍的杠桿率。(Beincrypto)[2021/3/19 18:58:46]
據上圖所示,調用該方法可輸入兩個參數,即一個地址類型的“_governance”和一個bytes類型的“_setData”。而函數的governance.call(_setupData)其實是表示向參數“_governance”地址發起一筆交易,其calldata為參數“_setData”。如此一來,只要有權限調用這個方法,便可以借合約的身份發起任意交易。在進行代碼編寫時,其注釋表示此函數是一個修改治理合約的函數,如下圖所示:
智能合約平臺Fantom啟動Uniswap克隆版fUNI.Uniswap:基于DAG的智能合約平臺Fantom宣布啟動fUNI.Uniswap,fUNI是部署在Fantom上的Uniswap克隆項目,目前已發布應用版和錢包集成版。公告稱,在Fantom上啟動Uniswap將擁有較低的費用和更快速的交易:費用低于一美分,確認交易的速度在2秒內。Uniswap的所有其他特征保持不變。用戶可在fUNI上交易fUSD和wFTM,開發人員可以像在以太坊上一樣部署代幣。[2020/10/16]
事實上,根據成都鏈安的審計經驗,修改治理合約通常并不需要調用call。而且,UniCats在對用戶資產進行盜竊時,還刻意多次變換owner地址,如下圖所示:
不僅如此,資產在轉出后還立刻被流入混淆器,如下圖所示:
如此操作,老練狠辣、一氣呵成,因此基本可以斷定,該項目就是一個徹頭徹尾的騙局,為的就是釣魚詐騙而上線。令人細思極恐的是,在本案例中盜竊者調用了transferFrom方法對用戶的資產實施轉賬,這就使得即便存在于錢包的用戶資產,也可能面臨被盜的風險。由于在合約授權時發起的是無額度限制授權,因此,一旦授權許可通過,合約就有權轉移用戶所有的資產。成都鏈安鄭重提醒,用戶在進行合約授權時,使用多少,授權多少。這樣操作的話,即便不幸遭遇類似欺詐性質的合約,也不會殃及錢包中的本金。如果用戶不太清楚自己的授權情況,可以通過以下工具進行查詢。1、https://approved.zone2、https://revoke.cash3、https://tac.dappstar.io/#/小結
于DeFi領域,用戶獲得新幣的門檻大大降低,通過組合資產投資的確可能在短期內實現大規模的增值收益。但是,用戶資產可能面臨的風險狀況就變得更為復雜,在這點上必須引起高度注意。在DeFi這個“黑暗森林”,大膽冒險是禁忌一般的行為。用戶資產不僅要受到客觀行情波動的影響,質押時是否遭受“清算”也無法預知,而合約中的人為陷阱更是無處不在。尤其是,不少DeFi項目都存在代理轉賬的邏輯,多數項目方也會直接要求用戶授權最大值。也就是說,用戶授權后,某些不良合約將利用留“后門”的手段,反噬用戶所持的全部資產。因此,對于用戶而言,來自合約的一切許可請求都要格外注意,寧理性退場,不冒然入坑,時刻警惕惡意項目方的此類“后門”陷阱。
Tags:UNISWAPCATUniswapCommunity TokenESWAPV2DOGECAT幣layer幣和uniswap的關系
本文來自:哈希派,作者:哈希派分析團隊,星球日報經授權轉發。金色財經合約行情分析 | 主流幣價格反復,DeFi板塊普漲:據火幣BTC永續合約行情顯示,截至今日18:00(GMT+8),BTC價格.
1900/1/1 0:00:00最近一個多月,Polkadot進度迅猛,公布了平行鏈路線圖、發布了Substrate2.0、還首次實現了平行鏈間資產轉移,作為跨鏈領域的一大熱門,波卡的這些表現無一不令人驚喜。下面我們一一分析.
1900/1/1 0:00:00本文來自:哈希派,作者:LucyCheng,星球日報經授權轉發。 北京時間2020年9月26日凌晨時分,KuCoin熱錢包地址出現的大量代幣異常提現交易牽動了加密社區的心.
1900/1/1 0:00:00編者按:本文來自加密谷Live,作者:JamieBurkeCEO@OutlierVenture,翻譯:Olivia,Odaily星球日報經授權轉載.
1900/1/1 0:00:00CCTV-2財經頻道近日客觀地報道了加密貨幣引發熱議!央視財經表示從投資回報率來看,加密貨幣或成為今年真正的頭號投資產品,并強調了以太坊的漲幅高達169.4%,比特幣達49.48%.
1900/1/1 0:00:00編者按:本文來自鏈聞ChainNews,撰文:張改娟,星球日報經授權發布。上周五,美國證券交易委員會針對數字資產證券交易托管經紀商在交易處理流程方面發布了一份無異議函.
1900/1/1 0:00:00