STA:YFValue 通知用戶停止在質押池中質押 YFV 并撤出資金

鏈聞消息，DeFi項目YFValue發布公告稱，團隊于昨日在YFV質押池中發現一個漏洞，惡意參與者借此漏洞對質押中的YFV計時器單獨重置。目前已有一個惡意參與者正試圖借此勒索團隊。對此，YFValue團隊作出以下決定：1.所有利益相關者需停止在當前的質押池中質押YFV，并需在計時器允許的情況下盡快提取資金，為此，YfvFinance現已刪除掉前端UI上的質押選項；2.在下一個epoch銷毀當前的YFV質押池，這將相當于銷毀15%的供應量，若社區想要一個新的質押池，YfvFinance將會盡快制定一個新的遷移計劃；3.團隊已經制定了一項計劃去搶救被困在資金池中的資金，但出于安全考慮目前不會對此進行披露；4.將使用發展基金，補償受次影響的社群成員。鏈聞此前報道，推特用戶dryrunner發布評論警告用戶從DeFi項目YFValue中撤出資金，因為該協議中大約有1.7億美元的資金存在被合約所有者鎖定的風險。

YFV啟動ETH-USDC和ETH-WBTC UNIv2的Value Vault:yfv.finance官方發推，宣布ETH-USDC和ETH-WBTC UNIv2代幣的Value Vault已啟動并正在運行。[2020/9/24]

Gate.io將上線SUSHI、YFV、UMA、YFII交易公告:據官方公告，Gate.io將分別于2020年8月30日(今日)14:00開通SushiSwap(SUSHI)交易；14:30開通YFValue(YFV)交易；15:00開通Universal Market Access（UMA）交易；15:30開通Yearn.Finance（YFII）交易。以上項目為流動性挖礦產生，請務必在完全了解風險并能承擔風險的情況下參與。[2020/8/30]

安全公司：YFV項目勒索事件根本原因在于沒有做好上線前的代碼審計工作:今日早間，基于以太坊的一DeFi項目YFV發文稱遭到勒索。攻擊者利用staking的合約漏洞，可以任意重置用戶鎖定的YFV。并表示，此次事件可能和不久前的“pool0”事件相關，勒索者極有可能是在“pool0”事件中未取回資金的“憤怒的農民”。

成都鏈安分析稱，合約存在一個stakeOnBehalf函數使得攻擊者可以為任意用戶進行抵押，此函數中的 lastStakeTimes“stakeFor”= block.timestamp; 語句會更新用戶地址映射的laseStakeTimes“user”。而用戶取出抵押所用的函數中又存在驗證，要求用戶取出時間必須大于lastStakeTimes“account”+72小時。

綜上所述，惡意用戶可以向正常用戶抵押小額的資金，從而鎖定正常用戶的資金。根據鏈上信息，我們找到了兩筆疑似攻擊的交易，兩筆交易都來自同一地址，且均為極小值。由此我們可以基本判定這是一個測試鎖死問題的交易。[2020/8/25]

Tags：STAALUVALVALUEpSTAKE Staked ATOMInterValueValue FinanceYFValue

Polygon