BTC/HKD-0.3%
ETH/HKD-0.38%
LTC/HKD-0.29%
DOT/HKD-1.05%
ADA/HKD-1.15%
SOL/HKD-0.25%
XRP/HKD-0.59%
DOGE/US-0.74%鏈捕手消息，波卡生態IDO平臺Polkatrain于今早發生事故，慢霧安全團隊第一時間介入分析，并定位到了具體問題，接下來以快訊的形式分享給大家，供大家參考分析。
慢霧：近期出現假冒UniSat的釣魚網站，請勿交互:5月13日消息，慢霧首席信息安全官 @IM_23pds 在社交媒體上發文表示，近期有假冒比特幣銘文錢包及交易市場平臺 UniSat 的釣魚網站出現，經慢霧分析，假網站有明顯的傳統針對 ETH、NFT 釣魚團伙的作案特征，或因近期 BRC-20 領域火熱故轉而制作有關該領域的釣魚網站，請用戶注意風險，謹慎辨別。[2023/5/13 15:01:11]
本次出現問題的合約為Polkatrain項目的POLT_LBP合約，該合約有一個swap函數，并存在一個返傭機制，當用戶通過swap函數購買PLOT代幣的時候獲得一定量的返傭，該筆返傭會通過合約里的_update函數調用transferFrom的形式轉發送給用戶。由于_update函數沒有設置一個池子的最多的返傭數量，也未在返傭的時候判斷總返傭金是否用完了，導致惡意的套利者可通過不斷調用swap函數進行代幣兌換來薅取合約的返傭獎勵。?
慢霧：跨鏈互操作協議Nomad橋攻擊事件簡析:金色財經消息，據慢霧區消息，跨鏈互操作協議Nomad橋遭受黑客攻擊，導致資金被非預期的取出。慢霧安全團隊分析如下：
1. 在Nomad的Replica合約中，用戶可以通過send函數發起跨鏈交易，并在目標鏈上通過process函數進行執行。在進行process操作時會通過acceptableRoot檢查用戶提交的消息必須屬于是可接受的根，其會在prove中被設置。因此用戶必須提交有效的消息才可進行操作。
2. 項目方在進行Replica合約部署初始化時，先將可信根設置為0，隨后又通過update函數對可信根設置為正常非0數據。Replica合約中會通過confirmAt映射保存可信根開始生效的時間以便在acceptableRoot中檢查消息根是否有效。但在update新根時卻并未將舊的根的confirmAt設置為0，這將導致雖然合約中可信根改變了但舊的根仍然在生效狀態。
3. 因此攻擊者可以直接構造任意消息，由于未經過prove因此此消息映射返回的根是0，而項目方由于在初始化時將0設置為可信根且其并未隨著可信根的修改而失效，導致了攻擊者任意構造的消息可以正常執行，從而竊取Nomad橋的資產。
綜上，本次攻擊是由于Nomad橋Replica合約在初始化時可信根被設置為0x0，且在進行可信根修改時并未將舊根失效，導致了攻擊可以構造任意消息對橋進行資金竊取。[2022/8/2 2:52:59]
慢霧安全團隊提醒DApp項目方在設計AMM兌換機制的時候需充分考慮項目的業務場景及其經濟模型，防止意外情況發生。
慢霧：Cover協議被黑問題出在rewardWriteoff具體計算參數變化導致差值:2020年12月29日，慢霧安全團隊對整個Cover協議被攻擊流程進行了簡要分析。
1.在Cover協議的Blacksmith合約中，用戶可以通過deposit函數抵押BPT代幣；
2.攻擊者在第一次進行deposit-withdraw后將通過updatePool函數來更新池子，并使用accRewardsPerToken來記錄累計獎勵；
3.之后將通過_claimCoverRewards函數來分配獎勵并使用rewardWriteoff參數進行記錄；
4.在攻擊者第一次withdraw后還留有一小部分的BPT進行抵押；
5.此時攻擊者將第二次進行deposit，并通過claimRewards提取獎勵；
6.問題出在rewardWriteoff的具體計算，在攻擊者第二次進行deposit-claimRewards時取的Pool值定義為memory，此時memory中獲取的Pool是攻擊者第一次withdraw進行updatePool時更新的值；
7.由于memory中獲取的Pool值是舊的，其對應記錄的accRewardsPerToken也是舊的會賦值到miner；
8.之后再進行新的一次updatePool時，由于攻擊者在第一次進行withdraw后池子中的lpTotal已經變小，所以最后獲得的accRewardsPerToken將變大；
9.此時攻擊者被賦值的accRewardsPerToken是舊的是一個較小值，在進行rewardWriteoff計算時獲得的值也將偏小，但攻擊者在進行claimRewards時用的卻是池子更新后的accRewardsPerToken值；
10.因此在進行具體獎勵計算時由于這個新舊參數之前差值，會導致計算出一個偏大的數值；
11.所以最后在根據計算結果給攻擊者鑄造獎勵時就會額外鑄造出更多的COVER代幣，導致COVER代幣增發。具體accRewardsPerToken參數差值變化如圖所示。[2020/12/29 15:58:07]
Tags：REWARDWARREWARDSACCBunicorn Universal RewardPolySwarmMeta Rewards Tokenvaccines
鏈捕手消息,Compound創始人Leshner及開發者arr00發布推文宣布,Compound即將進行治理系統GovernorBravo升級.
1900/1/1 0:00:00本文發布于DappReview,作者DR小伙伴。足球無疑是世界上產值最高、受眾最廣泛、影響力最大的體育運動。世界上沒有哪個宗教的分布范圍、信仰人數能與足球相匹敵.
1900/1/1 0:00:00本文系鏈捕手原創文章,作者蘇增儀。“-82990.87”。該數據來自一位ZKSwap中文社區投資者所曬出的超80000人民幣虧損的交易所賬號截圖,當日ZKSwap治理代幣ZKS價格腰斬,從最高1.
1900/1/1 0:00:00本文系鏈捕手原創文章,作者為Echo、胡韜。2月22日,全球第二大加密資產管理公司CoinShares在官網發布招股書,宣布上市計劃已經得到瑞典金融監管局批準,將于3月11日在位于瑞典的納斯達克.
1900/1/1 0:00:00鏈捕手消息,歐易?OKEx宣布將上線KineProtocol代幣KINE,將于3月15日12點開放KINE充值,3月15日13點開放KINE/USDT的市場交易.
1900/1/1 0:00:00本文發布于鏈向區塊鏈。 3月18日,中美兩國政府高層官員舉行了自拜登總統就任以來的首次會晤,這是一個很好的機會,可以把握兩國之間的長期關系。遺憾的是,聯盟幾乎不存在.
1900/1/1 0:00:00
比特幣交易所
