本文由Fairyproof Tech原创,授权金色财经独家发布,转载请注明出处。
熟悉DeFi生态的用户都听过Sushi,它是DeFi生态中知名的去中心化交易所,和Uniswap在圈内都是顶流的交易所项目。但和Uniswap专注交易的纵向发展路径不同,Sushi除了交易所,也注重在其它领域布局。
拍卖就是Sushi除交易所之外布局的领域。而MISO就是Sushi开发的代币发售平台。这个平台今年2月上线,迄今为止运营了6个多月,整体运行处于比较平稳的状况。
但就在北京时间8月18日凌晨,多名海外的白帽黑客发现MISO平台合约中存在安全漏洞,并联手从众筹资金池中拯救回10.9万枚ETH(约合 3.5 亿美元),使Sushi避免了一场潜在的灾难。
独家 | Bakkt期货合约数据一览:金色财经报道,Bakkt Volume Bot数据显示,8月24日,Bakkt比特币月度期货合约日交易额为1.3209亿美元,同比上升53%,未平仓合约量为1042万美元,同比下降4%。[2020/8/25]
以金额看,恐怕此次联手行动是DeFi发展史上“最大的白帽拯救行动”。此次白帽拯救行动导致BitDAO在MISO平台进行的荷兰拍中的ETH资金池提前结束。
尽管事件得以妥善解决,没有酿成大祸,但这次事件仍然给我们留下了很多值得深思的问题和教训。
Fairyproof Tech对此次漏洞的细节分析如下:
这次出现安全漏洞的是MISO的荷兰式拍卖合约。其拍卖合约地址为:
独家 | 热门DeFi项目Yearn治理币YFI报价超过1万美元:据DappBirds DeFi Data专题数据显示,热门DeFi项目Yearn治理币YFI报价超过1万美元,DeFi中锁定资产总价值达81.78亿美元,较昨日下降0.62%,其中Maker,Aave,Curve,Synthetix,Compound分别以14.70亿美元,11.20亿美元,10.20亿美元,8.12亿美元,7.32亿美元位列前五名。[2020/8/19]
0x4c4564a1FE775D97297F9e3Dc2e762e0Ed5Dda0e
在合约中,首要存在漏洞的是delegatecall函数调用。
delegatecall函数所执行的交易是外部传入的。本合约代码对delegatecall的调用使得每个交易在执行时,使用msg.value不会发生变化,因此调用者可以利用此漏洞支付一笔拍卖费用而提交多笔相同金额的拍卖订单,这相当于免费参与多次拍卖。
独家 | ETH 24h链上交易量环比上升4.29%:金色财经消息,欧科云链OKLink数据显示,ETH链上活跃度下降。ETH 24h链上活跃地址数逾48.46万,环比下降5.09% ;链上交易量近337万ETH,环比上升4.29% ;链上交易笔数逾123.9万笔,环比下降3.71% 。
截至下午2时,ETH全网算力约为189.29TH/s,较前日上升0.64TH/s,全网算力呈上升趋势。建议Gas费用为180.34Gwei,环比上升66.53% ,未确认交易数近14.32万笔。[2020/8/12]
这部分代码在BoringBatchable.sol文件中,具体代码如下所示:
独家 | Bakkt期货合约数据一览:金色财经报道,Bakkt Volume Bot数据显示,4月23日,Bakkt比特币月度期货合约单日交易额为1677万美元,环比持平,未平仓合约量为735万美元,环比上升7%。[2020/4/24]
除此以外,合约的退款逻辑放大了漏洞的攻击力。
当拍卖超过上限即auctionSuccessful()条件成立时,合约会执行退款。这个逻辑结合上面的漏洞就产生了这样的情景:
攻击者免费参与拍卖,并设置拍卖金额超过上限,从而触发合约的退款行为,取走拍卖中其他用户的资金。
退款逻辑由DutchAuction.sol合约中的withdrawTokens()函数实现,其具体代码如下所示:
这个安全漏洞最值得注意的地方是,它很早就已经被圈内认识了,并不是新发现的漏洞,因此其表现形式和特点对于成熟的审计公司而言是很容易被发现的。这样的漏洞完全可以通过审计发现,而不用等到合约上线冒如此大的风险。毕竟并不是每一个项目都能这么幸运,得到白帽黑客的帮助。但每一个项目在上线前进行详细的合约审计却是每个项目团队都应该做也必须做的。
因此我们再次提醒所有的项目方,做好项目审计是保障项目发展的第一要素。Fairyproof Tech永远以严谨的态度和专业的技能为项目方提供踏实、周全的服务。
关于Fairyproof Tech:
Fairyproof Tech科技有限公司是一家专注区块链生态安全的公司。Fairyproof Tech科技主要通过“代码风险检测+逻辑风险检测“的一体化综合方案服务了诸多新兴知名项目。公司成立于2021年01月,团队由一支拥有丰富智能合约编程经验及网络安全经验的团队创建。
团队成员参与发起并提交了以太坊领域的多项标准草案,包括ERC-1646、ERC-2569、ERC-2794,其中ERC-2569 被以太坊团队正式收入。
团队参与了多项以太坊项目的发起及构建,包括区块链平台、DAO组织、链上数据存储、去中心化交易所等项目, 并参与了多个项目的安全审计工作,在此基础上基于团队丰富的经验构建了完善的漏洞追踪及安全防范系统。
作者:
Fairyproof TechCEO 谭粤飞
美国弗吉尼亚理工大学(Virginia Tech, Blacksburg, VA, USA) 工业工程(Industrial Engineering) 硕士(Master)。曾任美国硅谷半导体公司 AIBT Inc(San Jose, CA, USA) 软件工程师,负责底层控制系统的开发、设备制程的程序实现、算法的设计,并负责与台积电的全面技术对接和交流。自2011至今,从事嵌入式,互联网及区块链技术的研究,深圳大学创业学院《区块链概论》课程教师,中山大学区块链与智能中心客座研究员,广东省金融创新研究会常务理事 。个人拥有4项区块链相关专利、3本出版著作。
标签:TECECHTECHAIRblockchaintechnology怎么读Mech MasterFuture Of FintechBaby Doge Billionaire
去年DeFi生态在以太坊爆发的时候,这个生态的大致过程是先在以太坊爆发,然后再由以太坊逐渐外溢到其它区块链,比如波场、EOS、BSC、HECO、Polygon等.
1900/1/1 0:00:00构建货币政策预期管理机制是健全现代货币政策框架的重要一环。增强货币政策操作规则性和透明度,建立制度化的货币政策沟通机制,有利于有效管理和引导公众预期,促进市场主体和政策目标的一致性,进而稳定宏观.
1900/1/1 0:00:00原标题:《扫黑风暴》全集遭泄露,技术手段能否杜绝侵权?日前,热播连续剧《扫黑风暴》送审样片全集版本被曝光网络并在极短时间内广泛传播.
1900/1/1 0:00:00虚拟财产依赖于计算机互联网络而存在,同时具有独立于其他网络资源或现实财产的价值。随着互联网时代的不断深入发展,将虚拟财产的保护作为单独的一条法律规定写入《民法典》,明确了虚拟财产作为财产权客体的.
1900/1/1 0:00:00当前数字经济时代,金融行业迎来了数字化转型的重要战略机遇期。作为发展数字金融的两驾马车,产业数字金融方兴未艾,前景广阔,消费数字金融依托互联网经济塑造的消费生态体系,已深度融入到居民的日常生活中.
1900/1/1 0:00:00新技术,新方向什么是音乐 NFT?国内外NFT如何革新音乐行业MozikAsync MusicTMETME NFT 数字藏品的价值体系永久性和独特性转变价值链权益保证首听权增加粉丝权益获取增值机.
1900/1/1 0:00:00