北京时间 6 月 23 日，PeckShield「派盾」预警显示，BSC 链上收益聚合器 Eleven Finance 中与 Nerve 相关的机池遭到闪电贷攻击。
PeckShield 「派盾」通过追踪和分析发现，此次攻击源于 Eleven Finance 的 Emergencyburn() 计算余额错误，且未执行销毁机制，攻击者获利近 460 万美元。
有趣的是，几个小时后，昨天刚从 Impossible Finance 薅得近 50 万美元的攻击者，利用 Eleven Finance 的漏洞，通过闪电贷攻击获利近 52 万美元。
神鱼：Filecoin lotus节点的一些返回值不是很符合常规逻辑:神鱼及Cobo官方今日给出Filecoin“双花攻击”细节：Filecoin lotus节点提供了多个API用于链上交易的获取，例如ChainGetBlockMessages可以获取指定区块内的所有交易内容，StateGetReceipt可以获取指定交易ID对应的执行结果，此次被攻击的交易所就是采用这两个API来进行链上转账行为的解析，并基于此为用户入账。不过他们没有注意到，StateGetReceipt接口有个比较不符合常规逻辑思维的设计，就是在获取指定交易ID的执行结果时，如果这笔交易已经被RBF（replace by fee），则会返回最终RBF成功的那笔交易的执行结果，并且在返回值里没有任何的提示表明这笔是RBF后的交易的执行结果。
假设攻击者首先发送了TX1，对应的交易ID为TXID1，随后攻击者对TX1进行了RBF，生成TX2，对应的交易ID为TXID2，最终TX2上链成功。此时通过StateGetReceipt对TXID1和TXID2分别查询，都能得到执行正确的结果！
Cobo Custody技术团队在对接Filecoin的过程中已经发现了上述问题，因此没有采用ChainGetBlotckMessages和StateGetReceipt来获取链上的转账行为，而是采用ChainGetParentMessages和ChainGetParentReceipts来获取已经成功上链的交易，从而从根本上避免了被双花充值的风险，因此未受此次双花充值攻击的影响。
此外，在使用ChainGetParentMessages和ChainGetParentReceipt的过程中，Cobo Custody技术团队发现lotus节点的一些返回值也不是很符合常规逻辑思维，例如对于空块的处理是有一些问题的。Cobo Custody技术团队对此作了妥善的安全处理，在此也提示其他中心化托管机构需要仔细检查相关的对接代码，避免其他的双花充值攻击行为。[2021/3/19 19:00:06]
第一个攻击者创建了 4 个合约，进行了 5 次攻击。
以太坊客户端Geth在最新版本中加入了减少抢先交易的逻辑:以太坊官方客户端Geth在最新的双周维护版本1.9.19中加入了减少抢先交易（front-running）的机制。变更记录中表示，该版本将会在挖矿过程中，按交易收到时间对同价交易进行排序，以减少抢先交易的情况。[2020/8/17]
PeckShield 以合约 0x8b29 为例简述攻击过程：
首先，攻击者从 PancakeSwap 中借出 953,869.6 BUSD，并将其中 340,631.2 BUSD 兑换 474,387.75 NRV；
声音 | 王彬生：区块链的基本经济逻辑是分布式普惠去第三方:中国社科院研究生院特聘教授王彬生在金色财经推出《区块链行业大咖共话新春》系列专题中表示，市场对STO的关注点不在于有了监管背书，其核心在于区块链市场经过几年的空对空折腾，传统的有型资产向对应的区块链世界转移才是问题的实质。把STO当作证券的思路未来将证明是低效率的，区块链的基本经济逻辑是分布式普惠去第三方。现有的虚拟资产交易平台在未来市场竞争中会击败绝大多数传统交易所。[2019/1/30]
随后，攻击者将 474,378.75 Nerve 和 366,962 BUSD 在 PancakeSwap 中添加流动性，获得 411,515.3 LP token；
攻击者将 411,515.3 LP token 放入 Eleven Finance 中与Nerve 相关的机池获得 411,515.3 11 nrvbusd LP token；
当攻击者提取 Pancake LP token 时，ElevenNeverSellVault 中的 Emergencyburn() 函数本应销毁 11 nrvbusd LP token 换回 Pancake LP token，但 Emergencyburn() 并未执行 burn （销毁）这个动作，使得攻击者利用此逻辑错误获利。
该攻击者又创建了 0x01ea 合约，借出 30.9 BTCB；0xc0ef 合约借出 285.66 ETH 以及 0x87E9 借出两笔闪电贷 2,411,889.87 BUSD 和 7,693 BUSD 进行攻击。
攻击者通过利用集成的第三方合约功能进行攻击，这类问题较难检测到，例如，此前PeckShield「派盾」帮助 Rari Capital 避免更大损失案例一样，在定位漏洞根源时，由于合约交互容易干扰安全人员的判断，PeckShield「派盾」建议，开发人员应谨慎与任意第三方协议进行交互。
DeFi 协议开发人员在集成第三方协议并将其部署到生产运行之前，应充分了解合约及其分支项目的运行情况。DeFi 协议开发人员应在项目上线前，先将其部署在测试网上进行测试并及时检查交易记录中的异常情况。
“太快了，攻击者从合约部署，到完成攻击，甚至到再次发起攻击，这一系列操作有时候快得让人有些反应不过来。”PeckShield「派盾」安全人员表示，“因此，事前审计，事中响应，事后提出及时有效的安全方案都是缺一不可的，谁都不知道攻击者会不会在下一秒发起攻击。”
标签：GETANCUSDBUSDtogetherbnb可以和谁嘿嘿YFED.FinanceUpbit可以购买usdt吗BUSDX
金色财经 区块链6月16日讯? Layer 1区块链通常可以从代币销售中获得巨额资金,而且也能获得大量支持来与以太坊竞争；不过,市场上现有的工具很难赶上迅速变化的用户需求.
1900/1/1 0:00:00约翰·迈克菲在西班牙的引渡听证会上声称,针对他的逃税指控是出于动机。杀软件先驱约翰·迈克菲告诉他的100万推特粉丝,他的全部加密货币财富已经消失,尽管他承认,不是所有人都会相信他说的是真的.
1900/1/1 0:00:00摘要：比特币作为有史以来第一种加密货币,缺乏其他一些加密货币所具备的功能。 Taproot 升级计划于 2021 年 11 月的某个时候实施,将为比特币带来大量功能,包括更低的费用、增强的隐私和.
1900/1/1 0:00:00有时候,比特币抽升10%只需要像埃隆·马斯克（Elon Musk）这类人物的一句正面评论。5月12日,在特斯拉宣布出于环保考虑,将不再接受比特币支付后,该公司首席执行官被认为是近期经济下滑的罪魁.
1900/1/1 0:00:00在比特币过去十多年的发展历程中,虽然价格总体向上,但过程曲折,牛熊交替中,很多早期参与者被清洗出局.
1900/1/1 0:00:006月10号,ICP League 联合社区开发者举办了第三期的开发者电话会,邀请了 DFinance 项目的开发者共同探讨了如何在 DFINITY 上发行代币.
1900/1/1 0:00:00
月亮链