BTC/HKD+1.44%
ETH/HKD+2.34%
LTC/HKD+1%
DOT/HKD+0.83%
ADA/HKD+3.11%
SOL/HKD+3.42%
XRP/HKD+8.76%
DOGE/US+0.82%北京時間7月28日，收益聚合器PolyYeld.Finance遭到攻擊，其代幣YELD歸零，攻擊者獲利25萬美元。
SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。
一、事件分析
攻擊者地址：
0x56ec01726b15b83c25e8c1db465c3b7f1d094756
0x1bdf24cb4c7395bf6260ebb7788c1cbf127e14c7
Polygon和萬事達卡合作推出Web3藝術家孵化器:1月7日消息，在CES 2023大會上，支付巨頭萬事達卡（Mastercard）宣布與Polygon合作推出一個以Web3為中心的孵化器，為新興藝術家提供Web3工具和技能，幫助他們與粉絲建立聯系將并Web3技術融入自己的作品和項目之中，包括如何鑄造NFT、如何在元宇宙建立社區、如何將內容“Token化”等。
Polygon此前已和星巴克、迪士尼、阿迪達斯、PRADA等品牌建立Web3合作關系。（TechCrunch）[2023/1/7 10:59:47]
從交易詳情可以看出攻擊者獲取的獎勵費用異常。
lpSupply值被操縱為1，導致1300行計算錯誤。
MassBit宣布與以太坊擴容方案Polygon集成:1月2日消息，官方消息，去中心化解決方案MassBit宣布與以太坊擴容方案Polygon集成，將Polygon區塊鏈添加到的MassBit跨鏈索引產品中。[2022/1/2 8:20:00]
根本原因在于當前合約的LPToken的余額不是所有用戶質押的LPTokn總額，其中還包含攻擊者向當前合約轉入的LP?Token金額，這導致了lpSuppy被操縱為1的情況，造成了錯誤的判斷和計算。
詳細函數分析
攻擊者事先給16號池轉入1LPToken
攻擊者合約0x56ec01726b15b83c25e8c1db465c3b7f1d094756調用balanceOf函數查詢lpSupply的值為1
Polygon Studios計劃籌集1億美元以支持區塊鏈游戲開發商和NFT創建者:以太坊擴容方案Polygon用于發展區塊鏈游戲和NFT的新部門PolygonStudios，正在計劃籌集1億美元資金以支持區塊鏈游戲開發商和NFT創建者，同時與游戲公司雅達利（Atari）合作，旨在成為Web2.0和Web3.0之間的橋梁。為了實現此愿景，PolygonStudios將為區塊鏈游戲和NFT團隊提供360°構建和發布支持，促進成熟品牌的發布并提供play-to-earn機會。此前報道，2月份，游戲公司雅達利接入Polygon網絡，將其NFT和AtariToken帶到了Layer2。7月份，Polygon宣布推出新部門PolygonStudios，用于發展區塊鏈游戲和NFT，幫助開發人員創建支持區塊鏈的游戲及自定義NFT模型和市場，促使Polygon網絡吸引更多游戲和NFT的優質品牌和特許。（ The Defiant ）[2021/7/23 1:11:08]
動態 | Poloniex為非美國用戶推出BCHABC和BCHSV保證金交易:據bitcoinexchangeguide報道，Poloniex已為其非美國用戶開啟了BCHABC和BCHSV的保證金交易，杠桿率為2.5倍。[2019/4/12]
調用updatePool函數
調用balanceOf函數查詢lpSupply的值
此時由于lpSupply的值為1，判斷條件不符，繼續執行函數代碼
動態 | Netcoins與Polymath合作 為其提供場外交易服務:據bitcoinexchangeguide消息，加密貨幣經紀服務公司Netcoins宣布與區塊鏈公司Polymath合作，將為其代幣發行商提供場外交易服務。據CoinMarketCap行情顯示，Polymath（POLY）全球均價現為0.2132美元，24小時漲幅9.78%。[2018/10/10]
調用getMultiplier函數獲取差值
YeldPerBlock值為10000000000000000，allocPoint值為2000，totalAllocPoint值為29000。但下一步中將計算獎勵的百分之十鑄幣給項目方，并未從給用戶的獎勵中扣除，這將導致通脹。
將鑄造給項目方和當前合約地址的Token數量添加到totalSupply
此時YeldReward值為25517241379310344，乘上1e18，再除lpSupply的值1。
執行結束后，accYeldPerShare的值為25517241379310346060896017401670445
返回user.amount的值為249792662487644753291986140279580
計算完成后調用withdraw提取獎勵，函數內調用payReferralCommission函數鑄造通過上面計算得到的token數量。
事件分析總結，該項目存在多個問題：
項目方收取百分之十的收益時直接鑄幣并未從用戶收益中扣除，導致通脹。
調用Masterchef合約實現推薦機制，即推薦者永久享受被推薦者收益的百分之二，但這百分之二并未從被推薦者收益中扣除。
正常情況下，合約計算收益的邏輯沒有錯誤，lpSupply應該為合約中的總Token數，但攻擊者通過操作，使得lpSupply為1，手動執行一次updatePool函數，使其計算出來的參數錯誤，再使用另外一攻擊合約的地址正常質押提取，使得推薦者獲得超出其本身應該獲得的收益。
Tags：POLOLYPOLYLYGpolkawallet挖礦教程PolygonPOLYDOGE幣2023年HollyGold
據Coindesk消息,拍賣行佳士得將于9月17日至9月28日舉行名為“NoTimeLikePresent”的拍賣會,將在線拍賣幾款熱門NFT.
1900/1/1 0:00:00提要：對央行數字貨幣的研究與探討仍在繼續：新西蘭聯儲周四在公開征求意見的文件中表示：“現金使用趨勢和貨幣創新為聯儲考慮擴大央行貨幣范圍以包括廣泛可用的數字形式提供了機會.
1900/1/1 0:00:00巴比特訊,NFT項目AxieInfinity首席運營官兼聯合創始人Aleksander在推特發文解釋了AXS成本相對于SLP每個品種的成本不平衡問題,他表示自己想對SLP和項目增長做一些澄清.
1900/1/1 0:00:009月9日,NFT交易平臺OpenSea用戶、以太坊域名主要開發人員NickJohnson爆出該平臺疑似存在漏洞,導致其賬戶下域名被引入銷毀地址.
1900/1/1 0:00:00《區塊鏈行業觀察》專欄·第51篇作者丨JoanneMolinaro,NathanA.Beaver 圖片丨來源于網絡 許多公司需要強大的供應鏈可追溯性,對于最普遍的追蹤挑戰.
1900/1/1 0:00:00巴比特訊,9月27日,由中國信息通信研究院、中關村區塊鏈產業聯盟、中關村安信網絡身份認證產業聯盟主辦的“鏈網創新數智未來一一區塊鏈創新應用發展論壇”在國家會議中心召開.
1900/1/1 0:00:00
比特幣交易所
