BTC/HKD+0.45%
ETH/HKD-0.16%
LTC/HKD+0.63%
DOT/HKD-1.02%
ADA/HKD+5.13%
SOL/HKD-0.23%
XRP/HKD+1.41%
DOGE/US+1.84%北京時間7月28日，收益聚合器PolyYeld.Finance遭到攻擊，其代幣YELD歸零，攻擊者獲利25萬美元。
SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。
一、事件分析
攻擊者地址：
0x56ec01726b15b83c25e8c1db465c3b7f1d094756
0x1bdf24cb4c7395bf6260ebb7788c1cbf127e14c7
Polygon Labs宣布裁員20%:金色財經報道，Polygon Labs 宣布已將團隊規模縮減 20%，影響了多個團隊和大約 100 個職位。受影響的員工每人將獲得三個月的遣散費。Polygon Labs 表示，其金庫目前保持健康狀態，金庫余額超過 2.5 億美元和 19 億枚 MATIC。今年早些時候，Polygon Labs 已將多個業務部門整合到 Polygon Labs 下。
此前報道，2 月 19 日，Polygon Studios 更名為 Polygon Labs，原 Polygon Studios 首席執行官 Ryan Wyatt 轉任為現 Polygon Labs 總裁，本次重組不會變更 Wyatt 在 Polygon Labs 業務團隊中的領導角色。[2023/2/21 12:20:32]
從交易詳情可以看出攻擊者獲取的獎勵費用異常。
Netflix韓劇《非常律師禹英禑》將與Polygon合作推出NFT項目:8月9日消息，正在播出的韓劇《非常律師禹英禑》是Netflix上收視率最高的非英語節目之一，其制作公司與Polygon合作建立一個NFT社區，以倡導人們對自閉癥譜系障礙（ASD）的認識。
韓劇制作公司Astory旗下AIMC在一份聲明中表示，計劃建立一個名為“Extraordinary Whales Club”的NFT項目，吸引該劇的粉絲，提高公眾對ASD的認識。該公司還將成立一個DAO，為ASD患者籌集慈善資金。（Forkast）[2022/8/9 12:12:08]
lpSupply值被操縱為1，導致1300行計算錯誤。
Deri Protocol完成Futures Main BSC和Futures Main Polygon池遷移:1月8日消息，去中心化衍生品協議Deri Protocol發推稱，Futures Main BSC和Futures Main Polygon池遷移已完成，服務已完全恢復。
此前報道，Deri Protocol發現Futures Main BSC和Futures Main Polygon池中存在bug，已將池凍結。[2022/1/9 8:35:17]
根本原因在于當前合約的LPToken的余額不是所有用戶質押的LPTokn總額，其中還包含攻擊者向當前合約轉入的LP?Token金額，這導致了lpSuppy被操縱為1的情況，造成了錯誤的判斷和計算。
波卡周報：以太坊橋一季度接入Polkadot 一季度發布Kusama及Polkadot平行鏈:2月2日，波卡Polkadot官方社區PolkaBase發布波卡周報。主要內容包括：在不提供明確的鏈的情況下將無法啟動Substrate；將在所有Polkadot RunTime中使用可擴展多重地址；修復cumulus的狀態緩存；增加交易通知的最大度量標準；波卡15號公投，RunTime升級到Polkadot v27；波卡品牌重塑的已更新進入沉浸階段；Kusama賞金提案子賞金擴展實施已執行；申請參加下一次解碼的Polkadot的提案將于2月28日截止；2021 年第一季度比特幣將進入Polkadot （PolkaBTC）；以太坊橋即將在第一季度接入Polkadot；2021年第一季度，Kusama平行鏈發布，Polkadot平行鏈發布。[2021/2/3 18:45:26]
詳細函數分析
庫幣Pool-X平臺即將開啟平臺幣POL 21,000個銷毀工作:據庫幣KuCoin交易所消息，庫幣Pool-X平臺即將開啟平臺幣POL第一次銷毀工作，本次銷毀的POL為截止到2020年8月31日流動性交易市場撮合服務費，共 21,000個POL。Pool-X將在POL銷毀后公示銷毀鏈接。
POL是基于波場TRC20協議發行的無任何團隊或個人預留的去中心化交易所積分。Pool-X將聯合更多項目方繼續為PoS生態服務。[2020/9/8]
攻擊者事先給16號池轉入1LPToken
攻擊者合約0x56ec01726b15b83c25e8c1db465c3b7f1d094756調用balanceOf函數查詢lpSupply的值為1
調用updatePool函數
調用balanceOf函數查詢lpSupply的值
此時由于lpSupply的值為1，判斷條件不符，繼續執行函數代碼
調用getMultiplier函數獲取差值
YeldPerBlock值為10000000000000000，allocPoint值為2000，totalAllocPoint值為29000。但下一步中將計算獎勵的百分之十鑄幣給項目方，并未從給用戶的獎勵中扣除，這將導致通脹。
將鑄造給項目方和當前合約地址的Token數量添加到totalSupply
此時YeldReward值為25517241379310344，乘上1e18，再除lpSupply的值1。
執行結束后，accYeldPerShare的值為25517241379310346060896017401670445
返回user.amount的值為249792662487644753291986140279580
計算完成后調用withdraw提取獎勵，函數內調用payReferralCommission函數鑄造通過上面計算得到的token數量。
事件分析總結，該項目存在多個問題：
項目方收取百分之十的收益時直接鑄幣并未從用戶收益中扣除，導致通脹。
調用Masterchef合約實現推薦機制，即推薦者永久享受被推薦者收益的百分之二，但這百分之二并未從被推薦者收益中扣除。
正常情況下，合約計算收益的邏輯沒有錯誤，lpSupply應該為合約中的總Token數，但攻擊者通過操作，使得lpSupply為1，手動執行一次updatePool函數，使其計算出來的參數錯誤，再使用另外一攻擊合約的地址正常質押提取，使得推薦者獲得超出其本身應該獲得的收益。
巴比特訊,9月14日,據BlockSec安全團隊表示,BlockSec預警系統發現以太坊交易平臺Nowswap和Nimbus均遭受了攻擊,分別損失了超100萬美元和近5000美元.
1900/1/1 0:00:00巴比特訊,據天眼查App顯示,騰訊科技有限公司日前申請“一種貸款資質確定方法、裝置、設備及存儲介質”發明專利,涉及區塊鏈技術領域,申請號為CN202010238015.7.
1900/1/1 0:00:00據Theblock9月20日消息,美國證券交易委員會(SEC)已指控RobertShumake、NicoleBirch和WillardJackson通過TransatlanticRealEsta.
1900/1/1 0:00:00Cointelegraph今日發文稱,本周的數據顯示,比特幣長期持有者將通過積累比特幣引發新一輪價格上漲。Glassnode數據顯示,比特幣供應將進入一個新的老化過程.
1900/1/1 0:00:00巴比特訊,據DappRadar最新數據顯示,過去24小時成交量排名前十的NFT項目及其成交量漲跌幅如下：AxieInfinity、ArtBlocks、InertialMoment、MutantA.
1900/1/1 0:00:00巴比特訊,9月10日,區塊鏈平臺Harmony宣布將在未來四年內提供價值超過3.8億美元的財庫資金支持生態建設.
1900/1/1 0:00:00
比特幣行情
