最近驚聞BSC上2個土礦又跑路了,金額在千萬級別,有一個礦朋友還中招了,實在是看不下去,和大家談談,如何避免大部分土礦的坑。
土礦一般來講,抽走資金一般這幾個步驟:
通過高APY吸引你沖動梭哈,畢竟高APY都是真金白銀支撐的,收益這么高大戶早來了,正所謂的收益越高,風險越大
通過一些“所謂的”安全措施讓你覺得風險很低
盜取資金之后馬上換為非erc代幣或者無法凍結的代幣,然后等待混幣機會逃走
看到了這個步驟,你應該明白了,如果能夠做到:
不開源的土礦一律不碰,不管他APY寫的多么誘人
開源的土礦,如果要參與,一定是在diff合約,檢查變量參數之后,少量資金參與。
那么相信你能規避大部分風險,下面簡單講一下怎么diff合約,怎么檢查參數,以及一些衍生的思考。
Binance任命Eleanor Hughes為其新任總法律顧問:金色財經報道,Binance已任命Eleanor Hughes為其新任總法律顧問,Hughes于2021年11月加入Binance法務團隊,近期擔任該公司亞太區、中東和北非地區法律主管。Hughes將與85名律師組成的團隊一起領導Binance的法律事務,與全球合規團隊合作解決監管和法律問題。[2023/7/13 10:53:28]
第一步:diff
這里以在線對比工具?https://www.diffchecker.com/?為例
注意一點,diff的合約需要是你真實要轉幣進去的合約地址
首先拿到原版的MasterChef代碼:
https://bscscan.com/address/0x73feaa1ee314f8c655e354234017be2193c9e24e#code
摩根士丹利:2023年底美國CPI將低于2%:11月14日消息,摩根士丹利分析師認為美國CPI將進一步走低,并下調了對2023年美國CPI的預測。美國目前的CPI年率為7.7%,但預計到明年年底將低于2.0%。
分析師作出該預測的原因有五個,一是全球需求應該會減少;二是供應鏈的壓力將會比現在小得多;三是庫存似乎越來越多,這會促使核心商品降價;四是住房價格的風險傾向在慢慢恢復平衡,基礎效應發生了實質性的變化;五是分析師預計美聯儲在1月份加息至4.625%的水平后會暫停加息。(金十)[2022/11/14 13:02:15]
接著這里以popcornswap為例:
https://bscscan.com/address/0x584527ded17aceb3dc617c40b04e8fe9afc57096#code
消息人士:馬斯克以約440億美元完成對Twitter的收購:10月28日消息,消息人士表示,當地時間周四晚間,特斯拉CEO埃隆·馬斯克已正式完成以每股54.2美元(約合440億美元)的價格收購Twitter公司的交易,當天晚上,馬斯克還罷免了Twitter首席執行官Parag Agrawal和首席財務官Ned Segal。
馬斯克本周一直在Twitter的舊金山總部,與員工會面并在咖啡館與他們進行即興討論。預計周五將舉行一次全體會議。Twitter公司和馬斯克的代表沒有立即回應置評請求。(BusinessInsider)[2022/10/28 11:50:59]
分別吧代碼復制到兩邊,開始diff
這里我保存了diff結果,可以直接點這個link:https://www.diffchecker.com/VqaCP3DK
Arbitrum One將于今日22:30進行Nitro升級,預計需要2-4小時:金色財經報道,Arbitrum 發布公告稱將于今日 22:30 將當前鏈 Arbitrum One 升級為 Arbitrum Nitro。預計 Arbitrum One 到 Nitro 的遷移過程需要 2-4 小時。Nitro 升級預計將大大提高網絡速度并降低交易成本。
幾日前,Arbitrum開發者發布Arbitrum Nitro白皮書。此前報道,Arbitrum One主網將于8月31日遷移到Nitro,該時間為Arbitrum One首次在公共測試版中開放的一周年紀念日。[2022/8/31 13:00:32]
像結果中字符串的修改,或者//后的內容都可以忽略
如上圖這種,可以忽略
如果是原版添加的代碼,土狗刪除的,一般也不重要,重點是土狗和原版代碼不同的地方:
真人秀女星Christine Quinn的加密貨幣經紀公司推出信用評分系統:金色財經報道,《日落家園》明星Christine Quinn曾與公司CEO Christian Dumontet一同推出了加密貨幣經紀公司RealOpen,該公司旨在幫助希望用加密貨幣購買房產的買家。現在,RealOpen正在推出一個加密貨幣信用評分系統“RealScore”,以預測波動性并幫助買家在適當的時候完成交易。
Dumontet在采訪中表示:“我們將加密貨幣應用于房地產是走向市場的戰略。我們期望并正在努力支持各種實物資產和服務,成為數字資產和實物資產之間的橋梁。”(dot.LA)[2022/8/10 12:15:34]
上圖為關鍵差異,土狗修改了原版的migrator方法,還增加了個一個叫做preUpgrade的函數。
看到這里,如果你對合約一無所知,安全期間,就可以直接關閉頁面保平安了。
這里簡單分析一下差異,首先migrate方法,這個是sushiswap繼承的代碼,原版代碼就有將池子里錢掏空的可能性。
popcorn這里,新的preUpgrade方法,是public的,代表所有人都能調用,就是一個非常可疑的點,理論上在migrator設置為惡意地址的時候能夠讓migrator掏空所有的錢。
第二步:檢查變量
點擊土狗合約的這個按鈕:
檢查migrator,owner等變量:
可以看到migrator是0,owner是一個timelock地址,土狗的一種套路是,聲稱自己有timelock,給出了合約地址,但owner并不是timelock的地址,那明顯就是騙局了。
當然timelock合約,也可以做小動作,所以也需要做diff操作,這里他的timelock沒有問題,就不贅述了
那么完成了上面兩步,很多資深礦工可能會覺得,timelock有的,合約變量沒問題,雖然有代碼存在風險,但是有timelock啊,沒事,沖tmd,對低級土狗而言,可能確實就無風險了,但很可惜,popcornswap是一個略高級的土狗。看我下面分解盜幣過程:
項目方通過調用:
https://bscscan.com/tx/0x38f75296e3343228c0309f8c99a24ca4f4812372f2b032f38ce25ac5a992b768
preUpgrade方法,讓自己的地址有了合約里token的transferFrom權限
看前面的代碼可以發現,preUpgrade確實又這個功能,但他只會給migrator這個權限,而migrator又是0,修改migrator需要經過時間鎖,那么他是怎么做到的呢?
答案是:項目方在部署合約后,加timelock之前,把migrator改成了自己的地址,并通過preUpgrade提前獲取了里面所有token的allowance,然后再改回migrator,添加時間鎖。
因為這些tx混在項目方添加池子的tx中,普通人根本不可能去檢查一個池子之前的每一個tx,所以popcornswap得以在2小時內盜取2mil的代幣。
這個作案手法也引起了我的思考,目前并沒有有效的工具,能夠查出一個合約地址里,tokenallow給其他地址的情況,因此非常難發現問題。普通的用戶,沒有能力,也不太可能發現這個端倪,甚至我相信在本次事件中,一些對合約代碼有所了解的土礦老司機也一并翻車。
那么popcornswap的解析就講到哪里,下面是我個人的一些思考,以及私貨
后續思考
本次作案手法曝光之后,相信未來的土礦也很有可能利用類似的手法進行盜幣,而對普通用戶而言防不勝防,事實上最近2天bsc上就有2個礦翻車,金額還都不小。
作為交易所公鏈,不管是bsc,還是heco,他們的核心競爭力是什么?是去中心化嗎?
我個人認為不是的。
bsc,heco等,他們最大的優勢應該是1.低手續費2.交易所公信力背書
以bsc為例,作為一個類似DPos的設計公鏈,跨鏈橋非去中心化,以及上面的大部分資產都是幣安發放的情況下,即使代碼開源,談何去中心化?
個人認為,反而應該反其道行之,引入類似EOS的仲裁機制,最大程度的保證用戶在鏈上的的財產安全才是生存之道。
本次popcornswap事件以及最新翻車的土礦,幣安目前都還在踢皮球階段,要求用戶去報案或者說我們在監視黑客地址等等,而不是想辦法幫用戶挽回損失,長此以往,當土礦跑路越來越多的情況下,請問幣安,誰還會去用BSC?
如果類似事件在Heco或者其他交易所公鏈發生,而他們擁有類似的安全機制,保證了用戶的資產安全,這樣大部分散戶才敢放心的在上面繼續使用,畢竟,你作為交易所背書的公鏈,優勢不是,也不可能會是去中心化。
希望所有交易所公鏈技術團隊三思,通過代碼升級保證自己公鏈的安全性來差異化競爭,也許還不太晚。
原標題:Popcornswap合約解析+教你如何避免大部分土礦風險
作者:iNexusPro
來源:金色財經
Tags:RATATORATOTORKaratgold CoinAviatorATOLO幣Prospectors Gold
?大家好,我是祥哥談幣,人的一生也許有些路,好走是條捷徑,也許有些路,可以讓你風光無限,也許有些路,安穩又有后路,可是那些路的主角,都不是我。至少我會覺得,那些路不是自己想要的.
1900/1/1 0:00:00在不到3年的時間里,歐洲區塊鏈創業公司Elrond的市值已經超過了8億美元。Elrond團隊未來計劃通過數字錢包Maiar吸引10億新用戶,這款區塊鏈支付App更加安全和私密,同時費用更低,可以.
1900/1/1 0:00:00看得遠才能走的遠,格局決定結局,跳出市場看走勢。作為當局者或交易者,我們不但要看清或把握好當下,更重要的是洞悉市場把握脈搏引領未來!這個市場里向來都是先知先覺者吃肉,后知后覺者喝湯,不知不覺者墊.
1900/1/1 0:00:00——前言 在投資市場上多空快速的轉換總是令人措手不及,面對市場劇烈的波動,我們一定要懂得及時的調整策略,兵無常勢,水無常形,唯有順勢而為才能游刃有余,立于不敗.
1900/1/1 0:00:00根據橋水基金合伙人最近的研究報告顯示,如果資產配置多元化中投向黃金的份額被比特幣代替,比特幣的價格理論上會至少上漲160%.
1900/1/1 0:00:00區塊鏈是一種全新分布式基礎架構和計算范本,既利用非對稱加密和冗余分布存儲實現信息不可篡改,又可利用鏈式數據結構實現數據信息可溯源.
1900/1/1 0:00:00