月亮链 月亮链
Ctrl+D收藏月亮链
首页 > 火币下载 > 正文

RUB:慢雾:Polkatrain出现薅羊毛事故,套利者可通过调用 swap 函数薅取返佣奖励_bico币被套牢

作者:

时间:1900/1/1 0:00:00

据慢雾区消息,波卡生态IDO平台Polkatrain于今早发生事故,慢雾安全团队第一时间介入分析,并定位到了具体问题,接下来以快讯的形式分享给大家,供大家参考分析。

慢雾:警惕Web3钱包WalletConnect钓鱼风险:金色财经报道,慢雾安全团队发现 Web3 钱包上关于 WalletConnect 使用不当可能存在被钓鱼的安全风险问题。这个问题存在于使用移动端钱包 App 内置的 DApp Browser + WalletConnect 的场景下。

慢雾发现,部分 Web3 钱包在提供 WalletConnect 支持的时候,没有对 WalletConnect 的交易弹窗要在哪个区域弹出进行限制,因此会在钱包的任意界面弹出签名请求。[2023/4/17 14:08:53]

本次出现问题的合约为Polkatrain项目的POLT_LBP合约,该合约有一个swap函数,并存在一个返佣机制,当用户通过swap函数购买PLOT代币的时候获得一定量的返佣,该笔返佣会通过合约里的_update函数调用transferFrom的形式转发送给用户。由于_update函数没有设置一个池子的最多的返佣数量,也未在返佣的时候判断总返佣金是否用完了,导致恶意的套利者可通过不断调用swap函数进行代币兑换来薅取合约的返佣奖励。

慢雾:Rubic协议错将USDC添至Router白名单,导致已授权合约用户USDC遭窃取:12月25日消息,据慢雾安全团队情报,Rubic跨链聚合器项目遭到攻击,导致用户账户中的USDC被窃取。慢雾安全团队分享如下:1. Rubic是一个DEX跨链聚合器,用户可以通过RubicProxy合约中的routerCallNative函数进行Native Token兑换。在进行兑换前,会先检查用户传入的所需调用的目标 Router是否在协议的白名单中。

2. 经过白名单检查后才会对用户传入的目标Router进行调用,调用数据也由用户外部传入。

3. 不幸的是USDC也被添加到Rubic协议的Router白名单中,因此任意用户都可以通过RubicProxy合约任意调用USDC。

4. 恶意用户利用此问题通过routerCallNative函数调用USDC合约将已授权给RubicProxy合约的用户的USDC通过transferFrom接口转移至恶意用户账户中。

此次攻击的根本原因在于Rubic协议错误的将USDC添加进Router白名单中,导致已授权给RubicProxy合约的用户的USDC被窃取。[2022/12/26 22:07:00]

慢雾安全团队提醒DApp项目方在设计AMM兑换机制的时候需充分考虑项目的业务场景及其经济模型,防止意外情况发生。

声音 | 慢雾:EOS假充值红色预警后续:慢雾安全团队今早发布了 EOS 假充值红色预警后,联合 EOSPark 的大数据分析系统持续跟踪和分析发现:从昨日开始,存在十几个帐号利用这类攻击技巧对数字货币交易所、钱包等平台进行持续性攻击,并有被真实攻击情况。慢雾安全团队在此建议各大交易所、钱包、DApp 做好相关防御措施,严格校验发送给自己的转账交易在不可逆的状态下确认交易的执行状态是否为 executed。除此之外,确保以下几点防止其他类型的“假充值”攻击: 1. 判断 action 是否为 transfer 2. 判断合约账号是否为 eosio.token 或其它 token 的官方合约 3. 判断代币名称及精度 4. 判断金额 5. 判断 to 是否是自己平台的充币账号。[2019/3/12]

标签:RUBUSDCBICRubicRubiesusdc币最新消息bico币被套牢

火币下载热门资讯
NFT:我可以把毕加索的画烧掉,做成NFT吗?_加密货币市场行情分析

作者:0x13,律动BlockBeats在《奇葩说》曾经的一道辩题辩论中,李诞曾说,「比蒙娜丽莎更美的,是燃烧中的蒙娜丽莎.

1900/1/1 0:00:00
ANC:流动性市场协议BENQI获600万美元战略融资,Ascensive Assets领投_NCE

据官方消息,基于Avalanche的去中心化非托管流动性市场协议BENQI完成600万美元战略融资,AscensiveAssets领投.

1900/1/1 0:00:00
以太坊:以太坊二层网络 Connext 完成由 Polychain Capital 领投的 220 万美元种子轮融资,预计将在半年内启动整个网络_NEXT

据TheBlock报道,以太坊二层网络Connext完成由PolychainCapital领投的220万美元种子轮融资,参投方包括1kx和HuobiCapital.

1900/1/1 0:00:00
FLASH:Flashbots 已大幅降低以太坊上的 Gas 费至约 65 Gwei_LASH

Flashbots已大幅降低以太坊上的gas费至约65Gwei。Flashbots是一家旨在降低由矿工可提取价值(MEV)对智能合约区块链构成负外部影响和存在风险的研发机构.

1900/1/1 0:00:00
LIBRA:无许可跨链燃烧协议Black Hole Protocol完成战略融资_Open Proprietary Protocol

无许可跨链燃烧协议BlackHoleProtocol在推特上宣布完成战略融资,由NGCVentures、AU21Capital、X21Digital、PowerLawCapital、ShinCh.

1900/1/1 0:00:00
区块链:院士领衔,产业专家云集,“链城”娄底这场区块链会议不容错过!_区块链运用的技术中不包括哪一项a共识算法

4月17日,2021互联网岳麓峰会·万宝区块链论坛将在“链城”娄底举行,大会由湖南省互联网信息办公室、湖南省工业与信息化厅和娄底市人民政府主办.

1900/1/1 0:00:00