以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads
首頁 > USDT > Info

案例 | UniCats “開后門” 釣魚 十數萬UNI“洗白”_UNI

Author:

Time:1900/1/1 0:00:00

時值國慶大假期間,加密錢包初創公司ZenGo的研究員亞歷克斯·馬努斯金爆料稱,有用戶一夜之間損失了價值14萬美元的Uniswap代幣UNI,而這與名為UniCats的“收益農場”有關。

據了解,一些參與DeFi提供流動性挖礦賺取收益的用戶最近發現了UniCats這個新農場。從界面來看,UniCats類似YamFinance和SushiSwap;收益方面,不僅可挖礦本地MEOW代幣,同時還可挖出包括UNI在內的其它代幣。

界面友好,產能不賴,資產入場。

當用戶準備提供流動性時,UniCats彈出提示框,要求獲取消費限制許可,而該許可的限制是:無限。

“比特幣財產損害賠償案”入選全國法院系統2020年度優秀案例:12月8日,最高人民法院官方微信公眾號公布“全國法院系統2020年度優秀案例分析評選活動獲獎名單”,該活動由最高人民法院主辦,中國應用法學研究所承辦。其中,由上海市第一中級人民法院劉江法官編寫的“李圣艷、布蘭登?斯密特訴閆向東、李敏等財產損害賠償糾紛案——比特幣的法律屬性及其司法救濟”從各高級人民法院初評并推選的優秀案例分析2745篇中脫穎而出,入選全國法院系統2020年度優秀案例。[2020/12/9 14:39:37]

用戶可能怎么也不會想到,在這個無限消費的許可的背后,UniCats開發者早已暗置了一個直通自家資產的“后門”。用戶的資產可由此被悄悄轉移至開發者指定的地址。

就這樣,有大膽且不幸的“農夫”瞬間被竊取了價值14萬美元的UNI,而其他用戶也有不同程度的損失。

Telegram“搬磚套利”詐騙最新案例 單一用戶被騙281個ETH:據追幣獵人CoinHunter報道,近日有用戶提交丟幣事件反饋稱遭受Telegram“搬磚套利”詐騙。不法分子假借“搬磚套利”的說辭,聲稱1個ETH可以兌換50-100(根據行情調整)個“HT”,從而引導用戶將281個ETH轉入詐騙者0x26f21cB開頭的合約地址中,并返還給用戶虛假“HT”從而騙取用戶資產。據CoinHunter監測,“搬磚套利”騙局詐騙總額已超50000枚ETH,部分ETH近期疑似在Swapcool等換幣平臺進行了兌換。[2020/5/20]

盜竊“現場”

那么,UniCats開的這個“后門”,又是如何對用戶進行竊金操作的呢?

1、盜竊者首先將UniCats的owner權限轉移給一個合約地址。

成都市法院發布知識產權典型案例 其中包含運用區塊鏈確認電子證據:日前,成都市法院發布了“成都法院知識產權十大典型案例”,包括網絡教學侵害著作權、竊取網絡游戲公司軟件源代碼侵犯著作權、運用區塊鏈確認電子證據、網售刮碼產品侵害商標權等與互聯網教學、網游、電商等當下熱點相關的案例。(華夏時報)[2020/5/1]

2、盜竊者通過獲得owner權限的合約地址調用UniCats的setGovernance方法。

3、setGovernance函數調用對于代幣的transferFrom函數,將用戶資產轉移到盜竊者地址。

第2、3步為此次盜竊的核心步驟,如下圖所示:

動態 | 《區塊鏈應用藍皮書(2019)》征集優秀案例:人民創投區塊鏈研究院擬通過社會科學文獻出版社,于2019年上半年出版《區塊鏈應用藍皮書:中國區塊鏈應用發展研究報告(2019年)》,即日起至3月31日征集優秀案例。[2019/1/29]

“后門”分析

UniCats合約中的setGovernance函數是實現盜竊的關鍵。通過調用此函數,UniCats合約即可作為調用者,能夠向任意合約發起任意調用。

據上圖所示,調用該方法可輸入兩個參數?,即一個地址類型的“_governance”和一個bytes類型的“_setData”。而函數的governance.call(_setupData)其實是表示向參數“_governance”地址發起一筆交易,其calldata為參數“_setData”。如此一來,只要有權限調用這個方法,便可以借合約的身份發起任意交易。

在進行代碼編寫時,其注釋表示此函數是一個修改治理合約的函數,如下圖所示:

事實上,根據成都鏈安的審計經驗,修改治理合約通常并不需要調用call。而且,UniCats在對用戶資產進行盜竊時,還刻意多次變換owner地址,如下圖所示:

不僅如此,資產在轉出后還立刻被流入混淆器,如下圖所示:

如此操作,老練狠辣、一氣呵成,因此基本可以斷定,該項目就是一個徹頭徹尾的騙局,為的就是釣魚詐騙而上線。

令人細思極恐的是,在本案例中盜竊者調用了transferFrom方法對用戶的資產實施轉賬,這就使得即便存在于錢包的用戶資產,也可能面臨被盜的風險。由于在合約授權時發起的是無額度限制授權,因此,一旦授權許可通過,合約就有權轉移用戶所有的資產。

成都鏈安鄭重提醒,用戶在進行合約授權時,使用多少,授權多少。這樣操作的話,即便不幸遭遇類似欺詐性質的合約,也不會殃及錢包中的本金。如果用戶不太清楚自己的授權情況,可以通過以下工具進行查詢。

1、https://approved.zone

2、https://revoke.cash

3、https://tac.dappstar.io/#/

小結

于DeFi領域,用戶獲得新幣的門檻大大降低,通過組合資產投資的確可能在短期內實現大規模的增值收益。但是,用戶資產可能面臨的風險狀況就變得更為復雜,在這點上必須引起高度注意。

在DeFi這個“黑暗森林”,大膽冒險是禁忌一般的行為。用戶資產不僅要受到客觀行情波動的影響,質押時是否遭受“清算”也無法預知,而合約中的人為陷阱更是無處不在。

尤其是,不少DeFi項目都存在代理轉賬的邏輯,多數項目方也會直接要求用戶授權最大值。也就是說,用戶授權后,某些不良合約將利用留“后門”的手段,反噬用戶所持的全部資產。

因此,對于用戶而言,來自合約的一切許可請求都要格外注意,寧理性退場,不冒然入坑,時刻警惕惡意項目方的此類“后門”陷阱。

Tags:UNINICCATCATSunisat官網app下載unic幣和uni幣有關系嗎Catheon GamingSpartacats

USDT
黑客攻擊報告:Electrum早期錢包漏洞導致2500萬美元比特幣被盜_LEC

要點: 據報道,較早版本的Electrum錢包導致了2500萬美元的比特幣被盜。一份新的調查報告詳細說明了攻擊者如何推送惡意軟件更新.

1900/1/1 0:00:00
硅谷王川:誰在顫抖?留給傳統金融從業者的時間不多了_SWAP

1.流動性,就是錢的一種文鄒鄒的說法。它還包含了另外一個層面的含義,就是資產可以迅速從一種狀態流動變遷到另外一種狀態,而在流動前后資產的價值沒有較大的打折損耗.

1900/1/1 0:00:00
谷燕西 | 不動產通證化市場基礎設施(二):通證生成和登記_數字資產

在美國SEC明確把通證分為工具型通證和證券型通證之后,在2018年時,美國市場中就開始出現技術平臺提供將資產進行通證化的功能。這些平臺如Polymath和Securitize等等.

1900/1/1 0:00:00
Meme沒有送我一套房,但帶我回到了童年_MEM

“Uni空投一臺iphone12,MEME空投了一套房“,這是近期MEME最能刺激大眾的標題。因為MEME一個多月前還只是一個0成本的空投幣,空投最高價值70萬刀.

1900/1/1 0:00:00
Vitalik Buterin:簡析Rollup等以太坊二層擴容方案信任模型_區塊鏈

作者|VitalikButerin,以太坊創始人?翻譯|閔敏&阿劍 來源|鏈得得 對于許多區塊鏈應用來說,免信任性都是最重要的特征之一.

1900/1/1 0:00:00
MakerDAO“3.12”清算賠償投票結束,65%的投票者支持“0 賠償”_MAKE

本文來源:律動BlockBeats9月24日,根據9月23日晚結束的投票,MakerDAO將不會賠償3月12日「黑色星期四」閃電崩盤的受害者,據此前報道.

1900/1/1 0:00:00
ads