最近驚聞BSC上2個土礦又跑路了,金額在千萬級別,有一個礦朋友還中招了,實在是看不下去,和大家談談,如何避免大部分土礦的坑。
土礦一般來講,抽走資金一般這幾個步驟:
通過高APY吸引你沖動梭哈(注意,很多雞賊的土礦都是寫APR,看起來更高,用APR的土礦求穩可以直接關閉),畢竟高APY都是真金白銀支撐的,收益這么高大戶早來了,正所謂的收益越高,風險越大
通過一些“所謂的”安全措施(timelock等)讓你覺得風險很低
盜取資金之后馬上換為非erc代幣或者無法凍結的代幣,然后等待混幣機會逃走
看到了這個步驟,你應該明白了,如果能夠做到:
不開源的土礦一律不碰,不管他APY寫的多么誘人
開源的土礦,如果要參與,一定是在diff合約,檢查變量參數之后,少量資金參與。(然而可能還有風險,比如popcornswap,會詳解)
那么相信你能規避大部分風險,下面簡單講一下怎么diff合約,怎么檢查參數,以及一些衍生的思考。(小白向)
Dunamu和Hybe推出首個K-pop數字收藏品平臺:金色財經報道,韓國加密貨幣交易所Upbit的母公司Dunamu與韓國音樂團體BTS的經紀公司Hybe合作,于周二推出了一個K-pop數字收藏品平臺。該平臺名為MOMENTICA,旨在通過可持續的區塊鏈技術進一步促進粉絲與藝術家的接觸,并將于10月中旬正式啟動。它的數字收藏品被命名為TAKE,捕捉K-pop藝術家的獨特時刻,供粉絲以圖像和視頻的形式收藏。(Forkast)[2022/10/4 18:39:16]
第一步:diff
這里以在線對比工具 https://www.diffchecker.com/ 為例
注意一點,diff的合約需要是你真實要轉幣進去的合約地址(可以轉非常少的量去拿地址)
首先拿到原版的MasterChef代碼(這里以pancakeswap為例):
https://bscscan.com/address/0x73feaa1ee314f8c655e354234017be2193c9e24e#code
基于以太坊和Solana的游戲工作室Ex Populus完成850萬美元融資:金色財經報道,基于以太坊和Solana的游戲工作室Ex Populus周二宣布完成一輪850萬美元的融資,Akatsuki Inc、Gerstenbrot Capital、Blockwall Digital Assets、Citizen X、Fisher 8 Capital、Perpetual Protocol、Yolo Ventures、Libra Capital Ventures、8186 Capital和Sneaky Ventures等參投。Ex Populus此前也在10月份籌集了由Animoca Brands領投的300萬美元種子輪融資。[2021/12/15 7:40:02]
接著這里以popcornswap為例:
https://bscscan.com/address/0x584527ded17aceb3dc617c40b04e8fe9afc57096#code
LollipopSwap創始人:中心化交易所對DeFi感到恐懼,笨拙地借機推廣平臺幣:Defi項目LollipopSwap創始人在Medium表示,中心化交易所對于DeFi感到恐懼,并嘗試通過挖礦模式推銷他們的平臺幣和平臺穩定幣。據悉,Lollipopswap已于9月8號9點正式開放新的流動性挖礦池,包括DAI-ETH、UMA-ETH、COMP-ETH、LEND-ETH、YFI-ETH、SUSHI-ETH、LINK-ETH和BAND-ETH。[2020/9/10]
分別吧代碼復制到兩邊,開始diff
這里我保存了diff結果,可以直接點這個link:https://www.diffchecker.com/VqaCP3DK
像結果中字符串(名稱等)的修改,或者// 后的內容(注釋)都可以忽略
聲音 | F2Pool 魚池聯合創始人:BTC擁堵是因有個PoP的幣VBK每天提交大量交易到BTC鏈上:F2Pool 魚池聯合創始人神魚微博稱,BTC為啥堵了,因為有個PoP的幣VBK,每天有大量交易提交到BTC鏈上。萊比特礦池江卓爾評論稱,看似偶然,實則必然,壓垮駱駝不是最后一根稻草的過錯。1M之下,沒有VBK,也有KBV來堵。早點堵,讓社區提早回憶準備上一輪一筆交易1000元手續費的慘劇,還是很有好處的。[2019/4/5]
如上圖這種,可以忽略
如果是原版添加的代碼,土狗刪除的,一般也不重要,重點是土狗和原版代碼不同的地方:
上圖為關鍵差異,土狗修改了原版的migrator方法,還增加了個一個叫做preUpgrade的函數。
看到這里,如果你對合約一無所知,安全期間,就可以直接關閉頁面保平安了。
新加坡區塊鏈創業項目PopulStay(潮箱)在東京的首次亮相:新加坡區塊鏈創業項目PopulStay(潮箱)在東京的首次亮相開啟路演,在路演現場Populstay(潮箱)項目獲得了日本Softbank投資部, MooreManagement, YJCapital等投資機構的關注,并與瑞士的數字資產和交易所Lykke達成了初步的合作意向。在技術合作方面,與頂級區塊鏈技術研發機構德國XIAM達成技術對接意向。同時也被三菱東京UFJ銀行邀請參加明年1月的區塊鏈加速器。[2018/2/27]
這里簡單分析一下差異,首先migrate方法,這個是sushiswap繼承的代碼,原版代碼就有將池子里錢掏空的可能性(所以土狗如果有migrate方法,求穩就不要去玩)。
popcorn這里,新的preUpgrade方法,是public的,代表所有人都能調用,就是一個非常可疑的點,理論上在migrator設置為惡意地址的時候能夠讓migrator掏空所有的錢。
第二步:檢查變量
點擊土狗合約的這個按鈕:
檢查migrator,owner等變量:(owner是核心)
可以看到migrator是0,owner是一個timelock地址,土狗的一種套路是,聲稱自己有timelock,給出了合約地址,但owner并不是timelock的地址,那明顯就是騙局了。
當然timelock合約,也可以做小動作,所以也需要做diff操作,這里他的timelock沒有問題,就不贅述了
那么完成了上面兩步,很多資深礦工可能會覺得,timelock有的,合約變量沒問題,雖然有代碼存在風險,但是有timelock啊,沒事,沖tmd,對低級土狗而言,可能確實就無風險了,但很可惜,popcornswap是一個略高級的土狗。看我下面分解盜幣過程:
項目方通過調用:
https://bscscan.com/tx/0x38f75296e3343228c0309f8c99a24ca4f4812372f2b032f38ce25ac5a992b768
preUpgrade方法,讓自己的地址有了合約里token的transferFrom權限(簡單理解為uniswap交易之前你需要allow合約花你的幣,這里是allow自己花合約里的幣)
看前面的代碼可以發現,preUpgrade確實又這個功能,但他只會給migrator這個權限,而migrator又是0,修改migrator需要經過時間鎖,那么他是怎么做到的呢?(這個問題其實也困擾了我一會)
答案是:項目方在部署合約后,加timelock之前,把migrator改成了自己的地址,并通過preUpgrade提前獲取了里面所有token的allowance,然后再改回migrator,添加時間鎖。
因為這些tx混在項目方添加池子的tx中,普通人根本不可能去檢查一個池子之前的每一個tx,所以popcornswap得以在2小時內盜取2mil的代幣。
這個作案手法也引起了我的思考,目前并沒有有效的工具,能夠查出一個合約地址里,token allow給其他地址的情況,因此非常難發現問題。普通的用戶,沒有能力,也不太可能發現這個端倪,甚至我相信在本次事件中,一些對合約代碼有所了解的土礦老司機也一并翻車。
那么popcornswap的解析就講到哪里,下面是我個人的一些思考,以及私貨(不愿意看的朋友就可以關閉文章了)
本次作案手法曝光之后,相信未來的土礦也很有可能利用類似的手法進行盜幣,而對普通用戶而言防不勝防,事實上最近2天bsc上就有2個礦翻車,金額還都不小。
作為交易所公鏈,不管是bsc,還是heco,他們的核心競爭力是什么?是去中心化嗎?
我個人認為不是的。
bsc,heco等,他們最大的優勢應該是1. 低手續費 2. 交易所公信力背書
以bsc為例,作為一個類似DPos的設計公鏈,跨鏈橋非去中心化,以及上面的大部分資產都是幣安發放的情況下,即使代碼開源,談何去中心化?
個人認為,反而應該反其道行之,引入類似EOS的仲裁機制,最大程度的保證用戶在鏈上的的財產安全才是生存之道。
本次popcornswap事件以及最新翻車的土礦,幣安目前都還在踢皮球階段,要求用戶去報案或者說我們在監視黑客地址等等,而不是想辦法幫用戶挽回損失,長此以往,當土礦跑路越來越多的情況下,請問幣安,誰還會去用BSC?
如果類似事件在Heco或者其他交易所公鏈發生,而他們擁有類似的安全機制,保證了用戶的資產安全,這樣大部分散戶才敢放心的在上面繼續使用,畢竟,你作為交易所背書的公鏈,優勢不是,也不可能會是去中心化。
希望所有交易所公鏈技術團隊三思,通過代碼升級保證自己公鏈的安全性來差異化競爭,也許還不太晚。
原標題:Popcornswap合約解析+教你如何避免大部分土礦風險
作者:iNexusPro
金色財經 區塊鏈1月31日訊? 央行數字貨幣(CBDC)已經成為今年全球金融領域中最重要的實踐之一,全球已有80%的中央銀行在評估采用央行數字貨幣,許多國家央行已經開始啟動運行測試工作.
1900/1/1 0:00:002 月 2 日,OKEx官方正式啟用中文名歐易,開啟全球化區塊鏈產業布局,旨在讓全球一億人擁有數字資產.
1900/1/1 0:00:00每個區塊鏈平臺都有不同的優勢,但你可能無法清楚地知道哪個平臺會適合你的需求或期望。從一個成熟的區塊鏈生態系統中,你可以運行自己的去中心化和分布式應用、服務或整個業務.
1900/1/1 0:00:00昨天晚上去吃夜宵,燒烤攤上的老板給我抱怨:“10塊錢才能買5個辣椒,我烤了之后最多只能賣3塊錢,別人還覺得貴,我的人工到底有多賤?”是的,什么東西都在漲價,除了普通人的勞動和收入.
1900/1/1 0:00:00文章系金色財經專欄作者牛七的區塊鏈分析記供稿,發表言論僅代表其個人觀點,僅供學習交流!金色盤面不會主動提供任何交易指導,亦不會收取任何費用指導交易,請讀者仔細甄別,謹防上當.
1900/1/1 0:00:00文章系金色財經專欄作者幣圈北冥供稿,發表言論僅代表其個人觀點,僅供學習交流!金色盤面不會主動提供任何交易指導,亦不會收取任何費用指導交易,請讀者仔細甄別防上當.
1900/1/1 0:00:00