BLUR:簡析Blur、Element、Gem等NFT交易平臺競爭差異

看到那么多無腦吹捧Blur的服了，APT空投吹APT，Blur空投吹捧Blur今天仔細研究了一下他們產品，寫個總結記錄一下，順便橫向對比一下其他交易市場，先上結論：滿足極少用戶的產品，而且目前跨鏈交易的Gas費控制極差，不建議使用。感興趣的可以點個關注。我也會不定期整理一些前沿資詢和項目點評，歡迎各位志同道合的幣圈人一起來探索。有問題可以評論提問或者私信，所有資訊平臺均為Crypto杰瑞?編輯切換為居中添加圖片注釋，不超過140字1）為了方便闡述我的想法，畫了一張圖方便解釋，順便也整理一下思路簡單來說，NFT交易用戶可以分三部分：NFT小白用戶、普通用戶、專業人士。2）人數最多的的用戶，他們對錢包原理不是特別清楚，也沒有太高的安全意識，還按照Web2的習慣看待NFT產品所以針對這些用戶有好多產品，比如幣安的NFT交易所、TP，不安全，但是方便啊但是目前這些用戶是最多的，但是還沒有哪個平臺能夠完全滿足這些人的需求，簡單、安全、方便3）其實目前市場的核心力量在腰部用戶，也就是普通用戶他們已經可以熟練的使用錢包了，而且對各種釣魚方式也比較注意，各個Web3產品也如數家珍這個市場也是目前廝殺比較激烈的區域，包括龍頭Opensea、Element、X2Y2、Looks等平臺。4）還有就是提到Blur，他是一些專業人士需要的平臺，追求原教旨主義、專業的交易平臺、注重交易成本之前這個領域一直是Gem和Genie的區域，現在Element也支持聚合交易，可以滿足跨市場掃貨的需求，Gas費用還便宜現在Blur是比這幾家還要極致，做的更加的專業化和細分5）但是越往上用戶是越少的，也就是說Blur的目標人群極少，會比Gem和Genie還少這是最大的問題，他的天花板太低了，甚至就是個地板的用戶量還有他的UI，因為他大量的使用了像素風格，像素風格喜歡的人很喜歡，不喜歡的人是真不習慣，大多數人知道像素風么?編輯切換為居中添加圖片注釋，不超過140字6）還有就是他的設計理念，不太在乎普通人的感受，我雖然買了很多NFT但是自認算是普通交易者我沒有找到關于合集的信息，包括Twitter、官網等信息，更不用說基礎的數據分析了。這就把太多人擋在門外了。7）我針對單個NFT分別測試了Element、Opensea、Blur的Gas費用Element：4.63Element：5.14Opensea：5.07Blur：10.5因為大部分都是聚合Opensea的，所以Opensea最便宜，但是Element自有更便宜。?編輯添加圖片注釋，不超過140字?8）大家經常使用的是聚合，Element因為是聚合了Opensea所以肯定會比Opensea高一點。但是，但是BlurGas居然高達10.5u，我當時就蒙了……最后才發現是他的業務邏輯太復雜了，Gas費用飆升，但是只是聚合交易而已你在做什么呢？當然除了單個的我還做了批量掃貨的聚合交易測試。9）針對5個NFT批量測試了Element、Opensea、Blur的Gas費用Element：22.33Element：17.77Opensea：15.59Blur：56.38太貴了，雖然只是預估價格，我還專門買了NFT測試，結果也是是真貴，他的聚合合約邏輯太復雜了。?編輯添加圖片注釋，不超過140字10）大家也在找各自的定位，但是Blur目前的定位非常不看好而且真正的專業交易者會直接調用OpenseaAPI不會經過他的合約再來一道，便宜、快、安全。

Beosin：Skyward Finance項目遭受攻擊事件簡析:金色財經報道，根據區塊鏈安全審計公司Beosin旗下Beosin EagleEye 安全風險監控、預警與阻斷平臺監測顯示，Near鏈上的Skyward Finance項目遭受漏洞攻擊，Beosin分析發現由于skyward.near合約的redeem_skyward函數沒有正確校驗token_account_ids參數，導致攻擊者5ebc5ecca14a44175464d0e6a7d3b2a6890229cd5f19cfb29ce8b1651fd58d39傳入相同的token_account_id，并多次領取了WNear獎勵。本次攻擊導致項目損失了約108萬個Near，約320萬美元。Beosin Trace追蹤發現被盜金額已被攻擊者轉走。[2022/11/3 12:12:36]

目前關注Opensea的求新求變，Element和X2Y2根據社區用戶的產品迭代。以上，供大家參考。感興趣的可以點個關注。我也會不定期整理一些前沿資詢和項目點評，歡迎各位志同道合的幣圈人一起來探索。有問題可以評論提問或者私信，所有資訊平臺均為Crypto杰瑞

Grim Finance 被黑簡析：攻擊者通過閃電貸借出 WFTM 與 BTC 代幣:據慢霧區情報，2021 年 12 月 19 日，Fantom 鏈上 Grim Finance 項目遭受攻擊。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1. 攻擊者通過閃電貸借出 WFTM 與 BTC 代幣，并在 SpiritSwap 中添加流動性獲得 SPIRIT-LP 流動性憑證。

2. 隨后攻擊者通過 Grim Finance 的 GrimBoostVault 合約中的 depositFor 函數進行流動性抵押操作，而 depositFor 允許用戶指定轉入的 token 并通過 safeTransferFrom 將用戶指定的代幣轉入 GrimBoostVault 中，depositFor 會根據用戶轉賬前后本合約與策略池預期接收代幣(預期接收 want 代幣，本次攻擊中應為 SPIRIT-LP)的差值為用戶鑄造抵押憑證。

3. 但由于 depositFor 函數并未檢查用戶指定轉入的 token 的合法性，攻擊者在調用 depositFor 函數時傳入了由攻擊者惡意創建的代幣合約地址。當 GrimBoostVault 通過 safeTransferFrom 函數調用惡意合約的 transferFrom 函數時，惡意合約再次重入調用了 depositFor 函數。攻擊者進行了多次重入并在最后一次轉入真正的 SPIRIT-LP 流動性憑證進行抵押，此操作確保了在重入前后 GrimBoostVault 預期接收代幣的差值存在。隨后 depositFor 函數根據此差值計算并為攻擊者鑄造對應的抵押憑證。

4. 由于攻擊者對 GrimBoostVault 合約重入了多次，因此 GrimBoostVault 合約為攻擊者鑄造了遠多于預期的抵押憑證。攻擊者使用此憑證在 GrimBoostVault 合約中取出了遠多于之前抵押的 SPIRIT-LP 流動性憑證。隨后攻擊者使用此 SPIRIT-LP 流動性憑證移除流動性獲得 WFTM 與 BTC 代幣并歸還閃電貸完成獲利。

此次攻擊是由于 GrimBoostVault 合約的 depositFor 函數未對用戶傳入的 token 的合法性進行檢查且無防重入鎖，導致惡意用戶可以傳入惡意代幣地址對 depositFor 進行重入獲得遠多于預期的抵押憑證。慢霧安全團隊建議：對于用戶傳入的參數應檢查其是否符合預期，對于函數中的外部調用應控制好外部調用帶來的重入攻擊等風險。[2021/12/19 7:49:04]

慢霧：BSC項目Value DeFi vSwap 模塊被黑簡析:據慢霧區情報，幣安智能鏈項目 Value DeFi 的 vSwap 模塊被黑，慢霧安全團隊第一時間介入分析，并將結果以簡訊的形式分享，供大家參考：

1. 攻擊者首先使用 0.05 枚 WBNB 通過 vSwap 合約兌換出 vBSWAP 代幣；

2. 攻擊者在兌換的同時也進行閃電貸操作，因此 vSwap 合約會將兌換的 vBSWAP 代幣與閃電貸借出的 WBNB 轉給攻擊者；

3. 而在完成整個兌換流程并更新池子中代幣數量前，會根據池子的 tokenWeight0 參數是否為 50 來選擇不同的算法來檢查池子中的代幣數量是否符合預期；

4. 由于 vSwap 合約的 tokenWeight0 參數設置為 70，因此將會采用第二種算法對池子中的代幣數量進行檢查；

5. 而漏洞的關鍵點就在于采用第二種算法進行檢查時，可以通過特殊構造的數據來使檢查通過；

6. 第二種算法是通過調用 formula 合約的 ensureConstantValue 函數并傳入池子中緩存的代幣數量與實時的代幣數量進行檢查的；

7. 在通過對此算法進行具體分析調試后我們可以發現，在使用 WBNB 兌換最小單位(即 0.000000000000000001) vBSWAP 時，池子中緩存的 WBNB 值與實時的值之間允許有一個巨大的波動范圍，在此范圍內此算法檢查都將通過；

8. 因此攻擊者可以轉入 WBNB 進行最小單位的 vBSWAP 代幣兌換的同時，將池子中的大量 WBNB 代幣通過閃電貸的方式借出，由于算法問題，在不歸還閃電貸的情況下仍可以通過 vSwap 的檢查；

9. 攻擊者只需要在所有的 vSwap 池子中，不斷的重復此過程，即可將池子中的流動性盜走完成獲利。詳情見原文鏈接。[2021/5/8 21:37:37]

Tags：BLURENSBLUSWAPblur幣價格TENSHI幣BBLUEMacaronSwap

BTC