FORCE:简析Asymetrix：基于LSD的非对称收益分配协议_OrcaX

Asymetrix通过一种公正透明的机制，将所有质押者的收益集中分配给其中的少数幸运者，使他们获得超额收益，而其他质押者则仅保本，不获得任何收益。

对于资金规模有限的个人投资者而言，ETH质押所能带来的年化收益率一般仅为5%左右，这难以激发他们的投资兴趣。他们涉足加密货币市场的目的往往是寻求更高的回报率。Asymetrix为他们提供了这样一种机会，即通过一种公正透明的机制，将所有质押者的收益集中分配给其中的少数幸运者，使他们获得超额收益，而其他质押者则仅保本，不获得任何收益。

LendHub被黑简析：系LendHub中存在新旧两市场:金色财经报道，据慢雾安全区情报，2023 年 1 月 13 日，HECO 生态跨链借贷平台 LendHub 被攻击损失近 600 万美金。慢雾安全团队以简讯的形式分享如下：

此次攻击原因系 LendHub 中存在两个 lBSV cToken，其一已在 2021 年 4 月被废弃但并未从市场中移除，这导致了新旧两个 lBSV 都存在市场中。且新旧两个 lBSV 所对应的 Comptroller 并不相同但却都在市场中有价格，这造成新旧市场负债计算割裂。攻击者利用此问题在旧的市场进行抵押赎回，在新的市场进行借贷操作，恶意套取了新市场中的协议资金。

目前主要黑客获利地址为 0x9d01..ab03，黑客攻击手续费来源为 1 月 12 日从 Tornado.Cash 接收的 100 ETH。截至此时，黑客已分 11 笔共转 1,100 ETH 到 Tornado.Cash。通过威胁情报网络，已经得到黑客的部分痕迹，慢雾安全团队将持续跟进分析。[2023/1/13 11:11:00]

用户将质押的 ETH (stETH) 存入由智能合约支持的公共池中，一旦用户向 Asymetrix 协议存款，智能合约就会以 1:1 的比例铸造 PST（Pool Share Token）并将其发送到用户的钱包。PST 代币反映了用户在协议中的份额，并且是提款所必需的。在当前版本的协议中，最低存款金额为 0.1 stETH。然而，存款不一定必须是 0.1 stETH 的倍数（即 0.11234 stETH 是可以接受的）。

慢雾：跨链互操作协议Nomad桥攻击事件简析:金色财经消息，据慢雾区消息，跨链互操作协议Nomad桥遭受黑客攻击，导致资金被非预期的取出。慢雾安全团队分析如下：

1. 在Nomad的Replica合约中，用户可以通过send函数发起跨链交易，并在目标链上通过process函数进行执行。在进行process操作时会通过acceptableRoot检查用户提交的消息必须属于是可接受的根，其会在prove中被设置。因此用户必须提交有效的消息才可进行操作。

2. 项目方在进行Replica合约部署初始化时，先将可信根设置为0，随后又通过update函数对可信根设置为正常非0数据。Replica合约中会通过confirmAt映射保存可信根开始生效的时间以便在acceptableRoot中检查消息根是否有效。但在update新根时却并未将旧的根的confirmAt设置为0，这将导致虽然合约中可信根改变了但旧的根仍然在生效状态。

3. 因此攻击者可以直接构造任意消息，由于未经过prove因此此消息映射返回的根是0，而项目方由于在初始化时将0设置为可信根且其并未随着可信根的修改而失效，导致了攻击者任意构造的消息可以正常执行，从而窃取Nomad桥的资产。

综上，本次攻击是由于Nomad桥Replica合约在初始化时可信根被设置为0x0，且在进行可信根修改时并未将旧根失效，导致了攻击可以构造任意消息对桥进行资金窃取。[2022/8/2 2:52:59]

公共池每24小时产生一次收益；该池产生的收益由协议定期（目前每周一次）在池参与者之间随机且不对称地分配；

安全团队：Audius项目恶意提案攻击简析，攻击者总共获利约108W美元:7月24日消息，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，Audius项目遭受恶意提案攻击。成都链安安全团队简析如下：攻击者先部署恶意合约并在Audius: Community Treasury 合约中调用initialize将自己设置为治理合约的监护地址，随后攻击者调用ProposalSubmitted 提交恶意85号提案并被通过，该提案允许向攻击合约转账1,856w个AudiusToken，随后攻击者将获得的AudiusToken兑换为ETH，总共获利约108W美元，目前获利资金仍然存放于攻击者地址上（0xa0c7BD318D69424603CBf91e9969870F21B8ab4c）。[2022/7/24 2:34:31]

根据用户在协议的 TVL 中站的比例，所有用户都会收到 ASX 代币奖励作为初始分配。

Force DAO 代币增发漏洞简析:据慢雾区消息，DeFi 量化对冲基金 Force DAO 项目的 FORCE 代币被大量增发。经慢雾安全团队分析发现： 在用户进行 deposit 操纵时，Force DAO 会为用户铸造 xFORCE 代币，并通过 FORCE 代币合约的 transferFrom 函数将 FORCE 代币转入 ForceProfitSharing 合约中。但 FORCE 代币合约的 transferFrom 函数使用了 if-else 逻辑来检查用户的授权额度，当用户的授权额度不足时 transferFrom 函数返回 false，而 ForceProfitSharing 合约并未对其返回值进行检查。导致了 deposit 的逻辑正常执行，xFORCE 代币被顺利铸造给用户，但由于 transferFrom 函数执行失败 FORCE 代币并未被真正充值进 ForceProfitSharing 合约中。最终造成 FORCE 代币被非预期的大量铸造的问题。 此漏洞发生的主要原因在于 FORCE 代币的 transferFrom 函数使用了`假充值`写法，但外部合约在对其进行调用时并未严格的判断其返回值，最终导致这一惨剧的发生。慢雾安全团队建议在对接此类写法的代币时使用 require 对其返回值进行检查，以避免此问题的发生。[2021/4/4 19:45:30]

在中奖的情况下，用户会自动以 PST（等同于 stETH 的金额）的形式获得奖励，因此用户的余额会增加，这会自动增加进一步抽奖的几率。因此，没有必要每次都去领取奖励。它将自动执行。

由于协议会随着时间的推移累积收益，因此一个基本指标是用户的 stETH 在池中的时间以及它为协议产生了多少收益。否则，加密巨鲸可能会在最后一刻以大笔存款进入协议，从而获得巨大的赔率，并从小用户那里“窃取”收益。

因此，影响赔率的第一个指标是TWAB（时间加权平均余额）。该指标显示用户对抽奖之间产生的池总收益的贡献。如果两次抽奖间隔为一周，一个用户在池中质押了100stETH一周（即100%时间），那么它的TWAB值就是100。TWAB值决定用户手里彩票的数量，彩票的总数量为池中所有用户的TWAB值/最低存款数取整，用户按照其TWAB值占总的比例来获得相应数量的彩票，之后所有的彩票都会被进行散列化处理来获得唯一id，协议向CHainlink VRF发送请求货的随机数，对返回随机数取模来保证在门票数量范围内，一旦出现符合要求的随机数，则与彩票列表进行匹配，选出获奖人。

协议采用AXS代币作为治理代币，通过持有AXS代币，用户可以参与治理过程，在那里他们可以对影响协议操作和性能的各种参数和策略提出和投票。例如，用户可以决定有多少用户将在每周抽奖中获得收益的份额，收益将如何在他们之间分配，协议的资金将如何管理和分配，以及协议中应该实现哪些其他功能或改进。

AXS token应该是Asymetrix协议的治理token，也是捕获协议增长价值的工具。但是，从目前的文档来看，该协议并没有明确的商业模式或收费结构，也没有从协议产生的收益中收取任何费用。这意味着协议收益分配的所有利润都给了将stETH存入协议的用户，而AXS代币持有者不会从协议的收入中获得任何奖励或股息。这也意味着AXS代币在协议中没有强烈的需求或效用，其价值完全取决于投机或治理参与。

该协议允许持有少量ETH的人加入令人兴奋的LSDfi世界，在那里他们可以通过不对称的收益分布享受高回报和随机性。该协议也很容易使用，因为用户只需要将stETH存入智能合约并等待每周的抽奖。然而，该协议的代币经济学设计上仍有很大改进空间，因为ASX代币没有明确的价值主张或激励机制来协调用户、开发人员和治理参与者的利益。

Go2 Mars Capital

个人专栏

阅读更多

金色早8点

Odaily星球日报

金色财经

Block unicorn

DAOrayaki

曼昆区块链法律

标签：FORCEETHFORORCFORCE价格Ethereum Stake FinanceFORTEOrcaX

币安下载热门资讯