BTC/HKD-0.47%
ETH/HKD-1.72%
LTC/HKD-3.33%
DOT/HKD-0.25%
ADA/HKD-5.35%
SOL/HKD-2.04%
XRP/HKD-7.39%
DOGE/US-5.23%據慢霧區情報，2022年01月28日，Qubit項目的QBridge遭受攻擊，損失約8000萬美金。慢霧安全團隊進行分析后以簡析的形式分享給大家。
簡要分析
1.攻擊者通過ETH上的QBridge合約進行存款操作，存款時傳入所要跨的目標鏈destinationDomainID、所要跨鏈的資產resourceID以及跨鏈資金數量與接收地址等參數構成的data。2.攻擊者指定傳入的resourceID為跨ETHToken所需要的值，但其調用的是QBridge的deposit函數而非depositETH函數，因此首先繞過了跨鏈資金數量與msg.value的檢查。deposit函數會根據resourceID從映射中取出handler地址進行充值，由于攻擊者傳入的是真實的跨ETHToken所需要的值所以可以順利調用handler合約的deposit函數。3.handler合約的deposit函數中會根據resourceID取出的所要充值的Token是否在白名單內進行檢查，由于攻擊者傳入的resourceID對應ETH，因此映射中取出的所要充值的Token為0地址，即會被認為是充值ETH而通過了白名單檢查。但deposit函數中卻并沒有對所要充值的Token地址再次進行檢查，隨后直接通過safeTransferFrom調用了所要充值的Token的transferFrom函數。4.由于所要充值的Token地址為0地址，而call調用無codesize的EOA地址時其執行結果都會為true且返回值為空，因此通過transferFrom的轉賬操作通過了safeTransferFrom的檢查，最后觸發了Deposit跨鏈充值事件。5.由于傳入的resourceID為跨ETH所需要的值，因此觸發的Deposit事件與真正充值ETH的事件相同，這讓QBridge認為攻擊者進行了ETH跨鏈，因此在BSC鏈上為攻擊者鑄造了大量的qXETHToken。攻擊者利用此qXETH憑證耗盡了Qubit的借貸池。MistTrack分析
德國聯邦財政法院確認比特幣持有1年后可免稅:金色財經報道，Bitcoin News在社交媒體上稱，德國聯邦財政法院確認比特幣持有1年后可免稅。[2023/3/2 12:38:35]
慢霧AML旗下MistTrack反洗錢追蹤系統分析發現，攻擊者地址(0xd01...5c7)首先從Tornado.Cash提幣獲取初始資金，隨后部署了合約，且該攻擊者地址交互的地址是Qubit、PancakeSwap和Tornado.Cash合約地址。目前資金未發生進一步轉移。慢霧AML將持續監控被盜資金的轉移，拉黑攻擊者控制的錢包地址，提醒交易所、錢包注意加強地址監控，避免相關惡意資金流入平臺。
以太坊核心開發者會議計劃討論將EIP-4844納入考慮范圍:金色財經報道，OP Labs首席執行官Liam Horne發推稱，以太坊核心開發人員將于周四召開電話會議，討論將EIP-4844納入考慮范圍（CFI）。不過“納入考慮范圍”并不代表會將EIP-4844包含在下次硬分叉中，上海升級的內容將另行討論。
據此前報道，以太坊創始人Vitalik Buterin在推特上分享Proto-danksharding的想法（EIP-4844），即專注于EVM無法執行的blob攜帶交易的數據驗證場景。Proto-danksharding將取代danksharding，這是一種分片技術，其中只有一個提議者選擇進入這個或那個槽的所有交易和所有數據，而不是為每個分片選擇一個單獨的提議者。提議的解決方案可以是一個臨時變體，因為它包括了一些分片技術的實施。同時，它導致了數據使用的增加，因為它需要一個更大的區塊大小。他提議每30天自動刪除blob數據，以防止網絡對數據和內存存儲的要求過大。[2022/11/24 8:03:21]
Aurora發布2.7.0版本EVM引擎，其測試網支持跨合約調用功能:金色財經消息，NEAR生態EVM擴容網絡Aurora發布2.7.0版本EVM引擎，該版本旨在通過利用NEAR的BN 256主機功能使得預編譯得到顯著改進，實現跨合約調用功能將NEAR合約生態系統引入Aurora。目前跨合約調用功能僅適用于測試網。
據悉，Aurora是基于NEAR協議開發的EVM網絡作為其Layer2擴容方案。Aurora最初由NEAR核心團隊開發者負責創建，目前正在幫助搭建鏈接其他生態的橋以及加速區塊鏈的采用和去中心化。[2022/9/6 13:11:37]
總結
本次攻擊的主要原因在于在充值普通Token與nativeToken分開實現的情況下，在對白名單內的Token進行轉賬操作時未對其是否為0地址再次進行檢查，導致本該通過native充值函數進行充值的操作卻能順利走通普通Token充值邏輯。慢霧安全團隊建議在對充值Token進行白名單檢查后仍需對充值的是否為nativeToken進行檢查。參考交易：https://etherscan.io/tx/0x478d83f2ad909c64a9a3d807b3d8399bb67a997f9721fc5580ae2c51fab92acfhttps://bscscan.com/tx/0x33628dcc2ca6cd89a96d241bdf17cdc8785cf4322dcaf2c79766c990579aea02原地址
Tags：TOKEKENTOKENTOKtokenpocket怎么充值bnbTokenfyCabana TokenDSF Token
相關閱讀： 「加密資本論」四部曲之二：沒有硝煙的戰場——VC還是tokenfund？前言：這個系列的文章,主要是以從業者和學者的雙重角度.
1900/1/1 0:00:00在過去的一年里,NFT的受歡迎程度飆升,幾乎引起了所有行業的個人、企業和組織的關注。NFT正迅速成為主流公眾想要參與其中的一種現象.
1900/1/1 0:00:00WingRiders是一個建立在Cardano區塊鏈上的DEX,由Cardano生態中最受尊敬的開發組織之一VacuumLabs支持.
1900/1/1 0:00:00NFT數據日報是由Odaily星球日報與NFT數據整合平臺NFTGO.io合作的一檔欄目,旨在向NFT愛好者與投資者展示近24小時的NFT市場整體規模、交易活躍度、子領域市占比.
1900/1/1 0:00:00譯者：Evelyn｜W3functioncreateApp()externalreturns(uint256);functionaddVersion(uint256appId.
1900/1/1 0:00:00研究機構：MintVentures研究員：許瀟鵬na 第一節 研報要點 1.1.核心投資邏輯 Arweave團隊擁有優秀的商業洞察力.
1900/1/1 0:00:00
比特幣交易所
