BTC/HKD-0.06%
ETH/HKD+1.13%
LTC/HKD+5.96%
DOT/HKD+9.81%
ADA/HKD+22.64%
SOL/HKD+0.03%
XRP/HKD+13%
DOGE/US+1.45%前言
據鏈聞消息，DeFi項目YFValue發布公告稱，團隊于昨日在YFV質押池中發現一個漏洞，惡意參與者借此漏洞對質押中的YFV計時器單獨重置。目前已有一個惡意參與者正試圖借此勒索團隊。慢霧安全團隊對此進行了深入分析，以下是相關技術細節。
細節分析
分析了一大堆，回到我們最初的問題，惡意的用戶是怎么鎖定其他用戶的資產的呢？
回到用戶抵押的邏輯，可以發現抵押邏輯中的stakeOnBehalf函數本意是幫助進行抵押，但是這里有個問題，如果這個用戶先前已經有抵押了呢？那通過對已經抵押的用戶再次進行抵押，比方說抵押1個YFV，是不是就能以極低的成本重置已抵押的用戶的計時器，導致用戶在withdraw時無法成功調用。更進一步，假設YFV抵押用戶已經成功調用了stakeReward函數，在快要達到unfrozenStakeTime所規定的時間時，惡意的用戶可以通過stakeOnBehalf函數給這個用戶抵押少量資產，即可再次對抵押獎勵進行鎖定，理論上這樣往復循環，即可使用戶無法取出自己的資產，但這個問題并不會導致資金損失。攻擊流程如下：
前車之鑒
這是本月出現的第二個沒有經過審計的DeFi項目所暴露出的風險，根據YFValue的官方聲明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，項目代碼是由富有經驗的開發者進行開發的，同時借鑒了其他成功的項目的代碼，但是仍無可避免的出現了風險。術業有專攻，安全審計一方面需要項目方的正向思維，另一方面，還是需要專業的安全團隊的逆向思維，從專業的黑客角度進行模擬對抗，發現問題。
修復方案
通過分析代碼和漏洞細節，針對本次漏洞，修復方案也很簡單，只要在抵押的時候檢查用戶的抵押狀態是否為已經抵押，如果已經抵押，則不允許再次抵押。或者對每次的抵押進行單獨的處理，不能對先前的抵押狀態產生影響。
YFV是基于以太坊的一個DeFi項目,今天早些時候,YFV官方發文稱遭到勒索。攻擊者利用staking的合約漏洞,可以任意重置用戶鎖定的YFV.
1900/1/1 0:00:00作者：谷燕西 證券交易所的模式在不斷的進化當中。技術的應用在不斷的改變交易所的運行模式。在過去的幾十年中,交易所的經營模式經歷了從交易池中的面對面的交易方式發展到完全電子化的交易方式.
1900/1/1 0:00:00注：原文作者是Bitmex平臺創始人兼首席執行官ArthurHayes,在這篇文章中,他首先分析了加密市場礦工及投機者對借貸的需求,并分析了DeFi借貸的原理及興起的原因,此外他還判斷稱.
1900/1/1 0:00:00來源：橙皮書 當網上開始出現MEME這樣的惡搞項目時,很難不讓人聯想到2013年牛市發生的另一個小故事.
1900/1/1 0:00:00原文標題：《YFI的DeFi保險》從借貸聚合開始,YFI開啟了其DeFi“帝國”的擴張之路。YFI除提供穩定幣聚合、挖礦聚合之外,開始把目光投向DeFi保險.
1900/1/1 0:00:00本文來源：新浪財經《意見領袖》作者：肯尼斯·羅格夫,國際貨幣基金組織前首席經濟學家,哈佛大學經濟及公共政策學教授.
1900/1/1 0:00:00
比特幣行情
internal{</p>
<p> _totalSupply=_totalSupply</p>
<p> 分析 | 凌晨拉升確定方向 短期或逼近9000點并持續上攻:據鏈塔數據平臺數據顯示，鏈塔數字貨幣整體指數（BI）今日11時報1325點，相較昨日上漲85點，漲幅6.85%。24h內市值前10的貨幣全線上漲，LTC漲幅最高，為11.24%，加密貨幣市場市值上升至接近2700億美元。周末兩日，市場一直處于橫盤整理狀態，直到今日凌晨3點，出現快速拉升。其中BTC拉升幅度最大幅度超10%，現已開始回調，在8600點上方波動。BTC繼上周五短時跌破震蕩區間后，一直處于整理狀態，周末在7900-8000持續收窄，十分接近方向選擇趨勢出現。今日迅速突破此前8200點阻力位置，并一度觸及8800點以上。 </p>
<p> 此前一直談到BTC以8200點為近期阻力位，一旦擊穿，有大概率持續上攻。可能快速逼近9000點并持續上攻。凌晨啟動也是數字貨幣趨勢變動的慣例了。BTC年內長期持續看多的基調不會變。短期可能在本周或6月初突破9000點，如果風險偏好較大，可以考慮上漲回調至8600點位加倉，如果出現大幅回調接近8200點，可以將倉位補滿。[2019/5/27]</p>
<p> 可以看到這里只是簡單的把對應的token用transferFrom的方式轉入到合約中，沒有什么特別的邏輯點。到這里整個抵押流程就很清晰了，接下來是收益的過程。計算用戶收益的是stakeReward函數，領取收益的為withdraw函數，代碼分別如下：</p>
<p> 分析 | BTC 如期回調 人氣熱度值再次向下:據 TokenInsight 數據顯示，反映區塊鏈行業整體表現的TI指數北京時間8月30日9時報662.03點，較昨日同期微漲0.52點，漲幅0.08%。通用平臺指數TIG報504.32點，較昨日同期上漲6.76點，漲幅1.36%。另據監測顯示，BTC人氣熱度值再次掉頭向下至0.0251%（昨日0.0409%，上周0.0352%），轉賬數較上周同期上升11.9%至25.3萬。BCtrend分析師 Jeffrey 認為，BTC算力加速增長，7nm礦機洗牌戰再次開打。技術分析方面，獨立分析師 Tommy Albert 認為， BTC如期回調，在6900美元附近獲得支撐，預計整理充分后將向上沖擊。[2018/8/30]</p>
<p> functionstakeReward()publicupdateReward(msg</p>
<p> 分析 | 哥倫比亞大學教授與其學生對BTC的不同看法:據bitcoinist消息，哥倫比亞大學經濟學教授Panos Mourdoukoutas和他的一名學生轉向計量經濟模型來預測2020年BTC的價格，他們使用的兩個模型得出了兩個完全相反結果。根據Adam Haye的模型，BTC將在2020年底達到55931.60美元的價格。隨著接近2100萬的上限，預計采礦業將以較慢的速度增長，看漲預測取決于加密貨幣的供應；然而，此前在三月份根據蘇黎世聯邦理工學院的瑞士教授斯賓塞惠特利的論文（該論文廣泛基于梅特卡夫定律），得出BTC的總市值將收縮至410億美元，目前超過1200億美元。[2018/8/6]</p>
<p> 通過分析計算收益和領取收益的代碼，發現邏輯也很簡單，stake函數首先是通過updateReward修飾器更新了用戶的獎勵，然后使用getReward函數計算了用戶的獎勵，并把抵押時間設置成當前區塊時間。最后，用戶在提取獎勵的時候，withdraw函數會首先計算當前的區塊時間，再與unfrozenStakeTime函數中計算出的時間進行對比，只有當前區塊時間大于unfrozenStakeTime計算出的時間，才允許提現。unfrozenStakeTime的代碼如下：</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 從代碼中得知，unfrozenStakeTime是使用用戶的上次抵押時間加上FROZEN_STAKING_TIME常量得出鎖定時間，只要超過時間，就能通過withdraw函數提現收益。整個抵押和領取收益的簡化流程如下：</p>
<p> <img alt=)