BTC/HKD-1.16%
ETH/HKD+0.77%
LTC/HKD+0.72%
DOT/HKD-1.21%
ADA/HKD-0.54%
SOL/HKD-1%
XRP/HKD-0.38%
DOGE/US+0.48%前言
據鏈聞消息，DeFi項目YFValue發布公告稱，團隊于昨日在YFV質押池中發現一個漏洞，惡意參與者借此漏洞對質押中的YFV計時器單獨重置。目前已有一個惡意參與者正試圖借此勒索團隊。慢霧安全團隊對此進行了深入分析，以下是相關技術細節。
細節分析
分析了一大堆，回到我們最初的問題，惡意的用戶是怎么鎖定其他用戶的資產的呢？
回到用戶抵押的邏輯，可以發現抵押邏輯中的stakeOnBehalf函數本意是幫助進行抵押，但是這里有個問題，如果這個用戶先前已經有抵押了呢？那通過對已經抵押的用戶再次進行抵押，比方說抵押1個YFV，是不是就能以極低的成本重置已抵押的用戶的計時器，導致用戶在withdraw時無法成功調用。更進一步，假設YFV抵押用戶已經成功調用了stakeReward函數，在快要達到unfrozenStakeTime所規定的時間時，惡意的用戶可以通過stakeOnBehalf函數給這個用戶抵押少量資產，即可再次對抵押獎勵進行鎖定，理論上這樣往復循環，即可使用戶無法取出自己的資產，但這個問題并不會導致資金損失。攻擊流程如下：
前車之鑒
這是本月出現的第二個沒有經過審計的DeFi項目所暴露出的風險，根據YFValue的官方聲明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，項目代碼是由富有經驗的開發者進行開發的，同時借鑒了其他成功的項目的代碼，但是仍無可避免的出現了風險。術業有專攻，安全審計一方面需要項目方的正向思維，另一方面，還是需要專業的安全團隊的逆向思維，從專業的黑客角度進行模擬對抗，發現問題。
修復方案
通過分析代碼和漏洞細節，針對本次漏洞，修復方案也很簡單，只要在抵押的時候檢查用戶的抵押狀態是否為已經抵押，如果已經抵押，則不允許再次抵押。或者對每次的抵押進行單獨的處理，不能對先前的抵押狀態產生影響。
中國工程院院士倪光南說,僅“十四五”期間,新基建能夠直接、間接帶動的投資規模就高達30萬億元。面對數十萬億級市場,礦業如何抓住這一時代機遇？8月22日,在“2020全球區塊鏈算力大會暨新基建礦業.
1900/1/1 0:00:00作者|哈希派分析團隊 BTC 24h漲幅超20% 市場整體跟隨大盤快速上行:金色財經報道,據火幣行情顯示,BTC自昨日午間起,從5300 USDT附近一路震蕩上行,最高至6399 USDT.
1900/1/1 0:00:00近日,美國國稅局開始向加密貨幣持有者發出一批新信件,咨詢他們是否正確地申報稅款。信件寫道：“我們了解到您擁有一個或多個賬戶包含虛擬貨幣,但可能未正確報告您涉及虛擬貨幣的交易,包括加密貨幣和非加密.
1900/1/1 0:00:00免責聲明：本專欄內容概不構成任何投資意見,內容亦并非就任何個別投資者的特定投資目標、財務狀況及個別需要而編制。投資者不應只按本專欄內容進行投資.
1900/1/1 0:00:00本文來自?Decrypt,原文作者：DanielPhillips&AmyCastorOdaily星球日報譯者|念銀思唐 摘要： -DeFi平臺Curve的創始人MichaelEgorov.
1900/1/1 0:00:00比特幣(BTC)期貨到期后,無論是在價格影響還是成交量方面都表現平平。未平倉頭寸僅減少了1.57億美元.
1900/1/1 0:00:00
以太幣交易所
internal{</p>
<p> 分析 | 報告：大多數加密投資者對快速致富越來越感興趣:據ambcrypto報道，總部位于倫敦的Revealing Reality機構最近進行的一項研究表明，大多數加密投資者對“快速致富”越來越感興趣，他們表現出渴望在短時間內通過“最小努力”來獲得更多收益。此外，另一家總部位于英國的市場研究機構Kantar TNS稱，參與他們調查的人中有70％的人不知道如何定義基本的加密功能。此外，在投資之前，只有8％的加密資產所有者進行過研究，并且每三個受訪者中就有一個從購買后從未檢查過加密資產的價值。[2019/3/11]</p>
<p> _totalSupply=_totalSupply</p>
<p> 可以看到這里只是簡單的把對應的token用transferFrom的方式轉入到合約中，沒有什么特別的邏輯點。到這里整個抵押流程就很清晰了，接下來是收益的過程。計算用戶收益的是stakeReward函數，領取收益的為withdraw函數，代碼分別如下：</p>
<p> 分析 | 金色盤面：USDT/CNY 持續回落:金色盤面綜合分析：USDT/CNY在過去12小時價格持續回落，目前收報6.89，較昨天高點7.03下跌了近2%，而同期BTC漲幅為4.96%，市場回暖跡象明顯，但是要注意行情的反復，不排除USDT二次探頂的可能。[2018/8/10]</p>
<p> functionstakeReward()publicupdateReward(msg</p>
<p> 通過分析計算收益和領取收益的代碼，發現邏輯也很簡單，stake函數首先是通過updateReward修飾器更新了用戶的獎勵，然后使用getReward函數計算了用戶的獎勵，并把抵押時間設置成當前區塊時間。最后，用戶在提取獎勵的時候，withdraw函數會首先計算當前的區塊時間，再與unfrozenStakeTime函數中計算出的時間進行對比，只有當前區塊時間大于unfrozenStakeTime計算出的時間，才允許提現。unfrozenStakeTime的代碼如下：</p>
<p> 分析 | 比特幣巨額轉賬集中在劇烈波動期:今日火幣區塊鏈研究院發布比特幣巨額轉賬研究報告，結論顯示，2017年以來：1、比特幣巨額轉賬集中發生于2017年7月和9月，2018年2月和4月這四個月份，且這幾個時間段比特幣價格都經歷了劇烈波動。2、Top1000的巨額轉賬中，其中87%的數額都轉入了新地址，但實際持有時間并不長；而轉入交易所冷錢包和舊地址的數額占比少但持有時間較長。3、95%的巨額轉賬轉入的地址目前余額為零，且89%的地址在收到轉賬后1天內即全部轉出，巨額轉賬轉入的大多數地址僅作為臨時過渡地址使用。4、Top1000的巨額轉賬中，有60筆交易與目前財富榜前100的地址相關，涉及16個地址。[2018/7/21]</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 從代碼中得知，unfrozenStakeTime是使用用戶的上次抵押時間加上FROZEN_STAKING_TIME常量得出鎖定時間，只要超過時間，就能通過withdraw函數提現收益。整個抵押和領取收益的簡化流程如下：</p>
<p> <img alt=)