BTC/HKD+0.05%
ETH/HKD+3.23%
LTC/HKD+0.45%
DOT/HKD+4.93%
ADA/HKD+14.69%
SOL/HKD+5.88%
XRP/HKD+0.64%
DOGE/US+2.29%內容來自“大橙子&小同的干貨鋪”的知識星球，作者康納Repeat。
1. AdminUpgradeabilityProxy天然的負面影響一代理的邏輯合約可以被替換
2.AdminUpgradeabilityProxy權限沒有移交timelock一項目方不受時間鎖約束，可以隨意使用1。所說的能力，替換邏輯合約最終項目方無限制地將正常合約替換成了攻擊合約，卷款跑路。
安全公司：AurumNodePool合約遭受漏洞攻擊簡析:金色財經報道，據區塊鏈安全審計公司Beosin EagleEye監測顯示，2022年11月23日，AurumNodePool合約遭受漏洞攻擊。
Beosin分析發現由于漏洞合約的changeRewardPerNode函數未進行驗證，導致攻擊者可以調用該函數進行任意值設置。
攻擊者首先調用changeRewardPerNode函數將每日獎勵值設置成一個極大數，接下來調用claimNodeReward函數提取節點獎勵，而節點獎勵的計算取決于攻擊者設置的rewardPerDay值，導致計算的節點獎勵非常高。而在這一筆交易之前，攻擊者便通過一筆交易(0xb3bc6ca257387eae1cea3b997eb489c1a9c208d09ec4d117198029277468e25d)向合約存入了1000AUR，創建了攻擊者的節點記錄，從而使得攻擊者能夠提取出該節點獎勵。最終攻擊者通過該漏洞獲得約50個BNB($14,538.04)。[2022/11/23 8:01:04]
1.項目方故意“坦誠”給出合約的timelock轉移權限記錄，展示的確執行了changeAdmin方法移交權限給timelock 地址，用于混淆視聽
Beosin：UVT項目被黑客攻擊事件簡析，被盜資金已全部轉入Tornado Cash:金色財經報道，據Beosin EagleEye 安全預警與監控平臺檢測顯示，UVT項目被黑客攻擊，涉及金額為150萬美元。攻擊交易為0x54121ed538f27ffee2dbb232f9d9be33e39fdaf34adf993e5e019c00f6afd499
經Beosin安全團隊分析，發現攻擊者首先利用開發者部署的另一個合約的具有Controller權限的0xc81daf6e方法，該方法會調用被攻擊合約的0x7e39d2f8方法，因為合約具有Controller權限，所以通過驗證直接轉走了被攻擊合約的所有UVT代幣，Beosin安全團隊通過Beosin Trace進行追蹤，發現被盜資金已全部轉入Tornado Cash。[2022/10/27 11:48:46]
2.0x7E0c621Ea9F7aFD5b86A50B0942eAee68B04A61C proxy 合約，changeAdmin方法內部調用追蹤到304行，實際寫入key為ADMIN_ SLOT， 但讀取key卻為ADMIN_ SLOT。即O (歐)和0 (零)的一個細微差異，讓changeAdmin方法完全失效，從而達到了已經移交權限的假象
慢霧：DEUS Finance 二次被黑簡析:據慢霧區情報，DEUS Finance DAO在4月28日遭受閃電貸攻擊，慢霧安全團隊以簡訊的形式將攻擊原理分享如下:
1.攻擊者在攻擊之前先往DeiLenderSolidex抵押了SolidexsAMM-USDC/DEI的LP。
2.在幾個小時后攻擊者先從多個池子閃電貸借出143200000USDC。
3.隨后攻擊者使用借來的USDC在BaseV1Pair進行了swap操作，兌換出了9547716.9個的DEI，由于DeiLenderSolidex中的getOnChainPrice函數是直接獲取DEI-USDC交易對的代幣余額進行LP價格計算。因此在此次Swap操作中將拉高getOnChainPrice函數獲取的LP價格。
4.在進行Swap操作后，攻擊者在DeiLenderSolidex合約中通過borrow函數進行借貸，由于borrow函數中用isSolvent進行借貸檢查，而在isSolvent是使用了getOnChainPrice函數參與檢查。但在步驟3中getOnChainPrice的結果已經被拉高了。導致攻擊者超額借出更多的DEI。
5.最后著攻擊者在把用借貸出來DEI兌換成USDC歸還從幾個池子借出來的USDC，獲利離場。
針對該事件，慢霧安全團隊給出以下防范建議：本次攻擊的原因主要在于使用了不安全的預言機來計算LP價格，慢霧安全團隊建議可以參考Alpha Finance關于獲取公平LP價格的方法。[2022/4/28 2:37:18]
1.高度警惕任何包含proxy 方式合約的項目，若未經timelock約束，合約有被瞬間替換的風險
2. never trust， always verify！ 不要相信項目方給出的timelock“證據”， 對于未經審計的fork項目，務必逐個contract做好與原項目的diff (如果你做到了，就可以躲過meerkat的障眼法)
3.基于1更要養成良好的approve 管理意識，meerkat在跑路后仍然通過無限授權，盜取用戶錢包內資產，窮兇極惡。切勿麻痹大意，你永遠不知道你曾經授權過的土礦，是否包含proxy模式，是否已經替換了惡意合約！
4. timelock是安全底線，無論是HECO的LLC，還是BSC的popcornswap、meerkat，犯罪方式越發隱蔽的，但萬變不離其宗，都是無timelock、假timelock。 珍愛生命，遠離無鎖土礦
昨天案發后幾乎沒有看到個人或團隊有明確解析，考慮到未來模仿犯罪不可避免，索性公開信息希望做到安全教育的目的。老農務必提高自己的姿勢水平，留意此類風險。最后祝大家挖礦出入平安。
Tags：CHALOCKELOCLOCMECHA價格Provenance BlockchainELOC幣bloc幣幣幣情
為了讓你不在下次空投到來時成為狂歡人群中的孤獨小丑,「先知實驗室」整理了目前較為靠譜的一些交互機會,全部搞一波,空投領到手軟.
1900/1/1 0:00:00普通人的感覺是數字貨幣非常不穩定。雖然對于許多人來說的確如此,但有些代幣旨在降低波動性或穩定性,通常它們被稱為穩定幣.
1900/1/1 0:00:00從DeFi熱潮盛行之時,擴容就一直是以太坊難以擺脫的魔咒,尤其是今年BSC等其他公鏈項目的成熟以及波卡平行鏈上線的有序推進,對于可能出現的“蠶食效應”,官方的壓力也越來越大.
1900/1/1 0:00:00作為市值最大的加密貨幣,比特幣作為交易媒介的有效性仍有爭議。與本質上無限供應、必須由央行管理的法幣不同,比特幣與黃金類似,它是一種有限供應量為2100萬枚的大宗商品貨幣.
1900/1/1 0:00:00DeFi數據 1.DeFi總市值：891.88億美元 市值前十幣種排名數據來源DeFiboxDeFi總市值數據來源：Coingecko2.過去24小時去中心化交易所的交易量：19.
1900/1/1 0:00:00原標題：解析代幣架構,原來價值代幣這樣“鑄造”牛市正在進行中！當下牛市所引發的新幣熱潮絕對是現象級反應,很多代幣都成為了市場上的熱寵兒.
1900/1/1 0:00:00
比特幣行情
