一、事件概覽北京時間6月28日,鏈必安-區塊鏈安全態勢感知平臺輿情監測顯示,Polygon生態算法穩定幣項目SafeDollar遭到黑客攻擊。攻擊事件發生后,SafeDollar項目所發行的穩定幣價格從1.07美元,瞬間跌至歸零。有消息指出,一份未經證實的合約抽走了25萬美元的USDC和USDT;后經Rugdoc.io分析證實,此次攻擊事件中黑客總共獲利價值25萬美元的USDC和USDT。隨后,SafeDollar項目方發布公告,要求投資者停止所有與SDO相關的交易。目前,SDO交易已暫時中止。鑒于此次攻擊事件所具備的標志意義,成都鏈安·安全團隊第一時間介入分析。繼5月初BSC諸多鏈上項目頻頻被黑之后,6月末Polygon生態也開始被黑客盯上,“潘多拉魔盒”是否已經悄然開啟?借此事件,成都鏈安通過梳理攻擊流程和攻擊手法,提醒Polygon生態項目加強安全預警和防范工作。
Safe社區再次發起投票啟用代幣可轉讓性的提案:6月15日消息,數字資產管理平臺Safe社區論壇再次發起2023年6月投票啟用代幣可轉讓性的提案,旨在實現SAFE代幣的可轉讓性。該提案表示,大約8個月前,SAFE代幣有資格申領,但代幣的可轉讓性作為智能合約的一項功能被鎖定。然而,鎖定SAFE治理代幣將阻止其他用戶參與SAFE治理,持有代幣的早期采用者與貢獻者也無法放棄治理權,因此會導致中心化。此前,SEP#2已提交給社區,但社區投票決定推遲實現SAFE代幣可轉讓性。該提案提議,覆蓋SEP#3的5個里程碑并啟用代幣可轉讓性。同時,該提案應立即被指定為正式的SEP,并發不到Snapshot上。[2023/6/15 21:38:06]
SafePal硬件錢包與移動端錢包已集成Sui Network:5月5日消息,去中心化加密錢包 SafePal 發文稱,其硬件錢包和移動端錢包已集成 Sui Network,瀏覽器錢包擴展程序的支持正在開發中,將很快發布。SafePal 用戶可以存儲、發送和接收 SUI 代幣,并通過應用內用于 SUI 的跨鏈交換來交換資產。[2023/5/5 14:44:53]
二、事件分析此次攻擊事件中,攻擊者利用PLX代幣轉賬時實際到賬數量小于發送數量以及SdoRewardPool合約抵押和計算獎勵上存在的邏輯缺陷,借助“閃電貸”控制SdoRewardPool合約中抵押池的抵押代幣數量,進而操縱獎勵計算,從而獲得巨額的SDO獎勵代幣,最后使用SDO代幣將SDO-USDC和SDO-USDT兩種兌換池中USDC和USDT全部兌換出來。攻擊者地址:0xFeDC2487Ed4BB740A268c565daCdD39C17Be7eBd攻擊合約:0xC44e71deBf89D414a262edadc44797eBA093c6B00x358483BAB9A813e3aB840ed8e0a167E20f54E9FB攻擊交易:0xd78ff27f33576ff7ece3a58943f3e74caaa9321bcc3238e4cf014eca2e89ce3f0x4dda5f3338457dfb6648e8b959e70ca1513e434299eebfebeb9dc862db3722f30x1360315a16aec1c7403d369bd139f0fd55a99578d117cb5637b234a0a0ee5c14以下分析基于以下兩筆交易:0xd78ff27f33576ff7ece3a58943f3e74caaa9321bcc3238e4cf014eca2e89ce3f0x1360315a16aec1c7403d369bd139f0fd55a99578d117cb5637b234a0a0ee5c14攻擊者首先使用PolyDex的WMATIC和WETH池進行PLX借貸,如下圖所示:
Gnosis Safe:以太坊合并后將僅支持PoS鏈:9月2日消息,數字資產管理平臺 Safe(原 Gnosis Safe)發布公告表示,以太坊合并后將僅支持 PoS 鏈,即用戶無法再通過官方接口與 PoW 鏈進行交互。Safe 用戶無需因合并執行任何操作,用戶資產仍是安全的。但仍建議用戶不要將任何重要的交易安排在合并時點前后,以防出現問題。
在合并之后,可能會有 2 個以太坊鏈:即 PoW 和 PoS,已創建的 Safe 賬戶將存在于這兩條鏈上。在合并后,如果用戶自行決定與 PoW 鏈進行交互,請確保知道自己在做什么。[2022/9/2 13:05:07]
Safe計劃推出自己的的代幣:金色財經報道,機構級錢包Safe計劃推出自己的名為 SAFE 的代幣,但目前還沒有確定推出的時間表。然而,加密貨幣分析師表示,投資者可以通過購買與 Safe 的母公司 Gnosis 相關的 GNO 代幣,通過某種后門開始押注 Safe 的成功。
自本月早些時候 Safe從 1kx、Coinbase Ventures、Tiger Global Management 和 Digital Currency Group 等 50 多家投資者的戰略融資中籌集 1 億美元以來, GNO 的價格已經上漲了 30% 以上。
此前,George稱,SAFE 代幣可能會在 9 月或 10 月推出。(Coindesk)[2022/7/27 2:40:12]
接下來,攻擊者通過攻擊合約反復進行抵押提取,主要是為了減少SdoRewardPool合約中SDO抵押池中的抵押代幣數量。
SafeHamsters將于9月4日在HECO生態鏈獨家發布最新版Avatars系列NFT:9月2日消息,俄羅斯鏈游SafeHamsters將于9月4日在HECO生態鏈獨家發布最新版Avatars系列NFT,本期Avatars系列NFT的鑄造靈感來源于對NFT世界的美好愿景。
據悉,Avatars 系列NFT是關于SafeHamsters 社區自我的一種表達。收藏者可以根據喜歡的演員、卡通形象和超級英雄自定義角色,SafeHamsters將給NFT收藏者帶來全新的體驗。
本期Avatars系列NFT可以在 NFT 盲盒系列及接下來即將發布的游戲中使用,該系列盲盒將于 9 月 15 日上線,MVP版本游戲也將于9 月底正式發布,為HECO玩家提供更多游戲空間的同時,共同賦能HECO生態。[2021/9/2 22:54:53]
PLX代幣合約進行代幣轉移時,如果from地址不在_isExcludedFromFee列表中,并且to地址也不在_isExcludedToFee列表中,會對轉移的代幣收取一次獎勵基金以及銷毀本次轉移代幣數量的0.05%。
而在SdoRewardPool合約中,記錄的數量為調用者所轉移的數量,沒有減去轉移過程中損耗的部分,在進行提取操作時,提取的數量為記錄的數量,超出了用戶實際抵押到本合約的數量,故會造成該抵押池中抵押代幣的異常減少。
攻擊者事先通過攻擊合約在該抵押池中抵押214.235502909238707603PLX,在攻擊合約攻擊完成后,控制攻擊合約在該抵押池中進行獎勵領取,由于SdoRewardPool合約中更新抵押池信息時使用的是balanceOf函數獲取本合約中抵押代幣數量,故獲取到的數量是惡意減少之后的數量,繼而造成PLX抵押池中accSdoPerShare變量異常增大,從而獲取到巨額的SDO代幣獎勵。最后利用獲取到的SDO代幣將SDO-USDC和SDO-USDT兩種兌換池中USDC和USDT全部兌換出來。
三、事件復盤事實上,此次攻擊事件并不復雜,但是值得引起注意。首先添加抵押池時添加了非標準代幣,再加上計算獎勵時使用了balanceOf函數進行抵押代幣數量的獲取,所以導致了此次攻擊事件的發生。從安全審計的角度看,項目方作為添加抵押池的管理員,對于將要添加的抵押池中的抵押貸幣,一定要三思而后行。通脹通縮類以及轉移數量與實際到賬數量不同的代幣,不建議作為抵押池的抵押代幣;如果因業務需要一定要添加這些類型的代幣作為獎勵代幣,務必與其他標準代幣分開處理。同時在抵押池中建議使用一個單獨的變量作為抵押數量的記錄,然后計算獎勵時,使用通過此變量來獲取抵押代幣數量,而不是使用balanceOf函數。另外,此次攻擊事件對于Polygon生態鏈上項目而言,是否會是一個“危險信號”,Polygon生態的“潘多拉魔盒”是否會就此打開,這還需要觀望后續態勢發展。不過,回望5月,BSC生態發生第一起閃電貸攻擊之后,便就此拉開了“BSC黑色五月”序幕。鑒于前車之鑒,成都鏈安在此提醒,Polygon生態鏈上項目未雨綢繆,切實提高安全意識。
Tags:SAFESDOUSDNFTASAFE2幣wisdomisthewealthofthewiseFDUSDMilady Vault (NFTX)
文|比得潘編輯|Tong出品|PANews隨著國內各地礦場逐步關停,中國背景的眾多礦池算力集體大跌,同時迎來了比特幣挖礦難度的最大幅度下調后,仍有部分礦工選擇觀望期待政策出現轉機.
1900/1/1 0:00:00加入PolkaWorld社區,共建Web3.0! 上周,Karura成功競拍到Kusama的第一個平行鏈插槽,并順利上線了,這也是全球第二條“平行鏈”.
1900/1/1 0:00:00Odaily星球日報譯者|Moni 在7月22日的TheBWord會議上,“億萬富翁之鏘鏘三人行”有點令人失望.
1900/1/1 0:00:00本報告的目標是為大家介紹當今賦能DeFi應用的「DeFi基礎架構」這一新興領域。雖然外界很容易被圍繞該領域的夸張宣傳和猜測所迷惑,但我在本文中將重點關注DeFi應用的關鍵組件、DeFi應用與傳統.
1900/1/1 0:00:00科技與藝術的碰撞讓NFT爆紅,走向加密舞臺的中央。隨之而來的是,各類應用逐步加速、大型公司或知名IP相繼試水,以及各路資本競相涌入.
1900/1/1 0:00:00近日,比特幣在關鍵點位3萬美元附近徘徊,各國政策收緊,加密領域各版塊行情下挫,減弱了市場信心。但反觀一級市場,投資機構對于潛力項目的熱情,似乎并未受到太大影響.
1900/1/1 0:00:00