UNI:案例 | UniCats “开后门” 钓鱼 十数万UNI“洗白”_ATS

时值国庆大假期间，加密钱包初创公司ZenGo的研究员亚历克斯·马努斯金爆料称，有用户一夜之间损失了价值14万美元的Uniswap代币UNI，而这与名为UniCats的“收益农场”有关。

据了解，一些参与DeFi提供流动性挖矿赚取收益的用户最近发现了UniCats这个新农场。从界面来看，UniCats类似YamFinance和SushiSwap；收益方面，不仅可挖矿本地MEOW代币，同时还可挖出包括UNI在内的其它代币。

“基于区块链的电子证据平台”案例发布:9月7日，中国工程院《中国区块链发展战略研究》项目发布“发现100个中国区块链创新应用”栏目之“基于区块链的电子证据平台”案例。电子证据管理系统首期覆盖全国重点平台20余家，包括京东、淘宝、天猫、阿里巴巴、苏宁、拼多多、唯品会、饿了么等，平台内经营者万余人、重点品牌数百余个，上线后一年内累计线索量240余万条，累计固证量280余万，实现商品下架70余万个，为数百次行政执法处罚提供司法出证服务。

总体来看，电子证据管理系统有效防止了网络交易场景中由于经营者因抵触检查不提供账号密码而使得执法人员无法进入网店后台，错过有效证据，或者经营者篡改、删除产品信息页面等情况的出现，切实提高了执法的有效性。（证券日报之声）[2021/9/7 23:06:13]

界面友好，产能不赖，资产入场。

当用户准备提供流动性时，UniCats弹出提示框，要求获取消费限制许可，而该许可的限制是：无限。

动态 | 海尔衣联网探索基于区块链技术的服装行业增值服务 入选工业互联网区块链领域优秀案例:据中国商务网报道，4月25日，工业互联网产业联盟围绕工业互联网网络、平台和安全三大体系，评选出7项工业互联网优秀应用案例。其中，海尔衣联网探索基于区块链技术的服装行业增值服务，入选工业互联网区块链领域优秀案例。此次评选旨在寻找我国工业互联网应用技术的最佳实践，为工业互联网的实施部署提供示范。[2019/4/26]

用户可能怎么也不会想到，在这个无限消费的许可的背后，UniCats开发者早已暗置了一个直通自家资产的“后门”。用户的资产可由此被悄悄转移至开发者指定的地址。

就这样，有大胆且不幸的“农夫”瞬间被窃取了价值14万美元的UNI，而其他用户也有不同程度的损失。

盗窃“现场”

那么，UniCats开的这个“后门”，又是如何对用户进行窃金操作的呢？

动态 | 图灵奖得主姚期智介绍区块链等金融科技应用案例 并展望金融科技发展前景:据金融科技研究消息，4月15日，中国人民银行举办“金融科技大讲堂”首次活动。中国科学院院士、图灵奖得主、清华大学交叉信息研究院院长姚期智发表《金融科技的崛起：科学基础与发展前景》主题演讲，重点介绍了多方安全计算、区块链、无监督学习等金融科技应用案例，并对金融科技应用与发展的未来前景作了展望。[2019/4/16]

1、盗窃者首先将UniCats的owner权限转移给一个合约地址。

2、盗窃者通过获得owner权限的合约地址调用UniCats的setGovernance方法。

3、setGovernance函数调用对于代币的transferFrom函数，将用户资产转移到盗窃者地址。

第2、3步为此次盗窃的核心步骤，如下图所示：

动态 | 发布十大网络犯罪典型案例 含虚拟货币变现服务案:据人民报，2018互联网安全与治理论坛18日在四川省成都市举行，论坛发布了10个机关打击网络违法犯罪典型案例。其中，广东深圳机关破获尹某等人开设案在列。该案中，广东深圳机关摧毁了某类游戏APP平台中专门为“客”提供虚拟货币变现服务、从中赚取差价牟利变相实施网络的团伙。[2018/9/19]

“后门”分析

泰康在线CEO王道南：公司区块链在积分体系、反欺诈等方面都有实际应用案例:近日，泰康在线CEO王道南接受独家专访时表示，公司目前在智能客服技术上已成熟，区块链在积分体系、反欺诈等方面都有实际应用案例，另外，大数据、人脸识别等已在广泛应用。[2018/4/18]

UniCats合约中的setGovernance函数是实现盗窃的关键。通过调用此函数，UniCats合约即可作为调用者，能够向任意合约发起任意调用。

据上图所示，调用该方法可输入两个参数?,即一个地址类型的“_governance”和一个bytes类型的“_setData”。而函数的governance.call(_setupData)其实是表示向参数“_governance”地址发起一笔交易，其calldata为参数“_setData”。如此一来，只要有权限调用这个方法，便可以借合约的身份发起任意交易。

在进行代码编写时，其注释表示此函数是一个修改治理合约的函数，如下图所示：

事实上，根据成都链安的审计经验，修改治理合约通常并不需要调用call。而且，UniCats在对用户资产进行盗窃时，还刻意多次变换owner地址，如下图所示：

不仅如此，资产在转出后还立刻被流入混淆器，如下图所示：

如此操作，老练狠辣、一气呵成，因此基本可以断定，该项目就是一个彻头彻尾的局，为的就是钓鱼而上线。

令人细思极恐的是，在本案例中盗窃者调用了transferFrom方法对用户的资产实施转账，这就使得即便存在于钱包的用户资产，也可能面临被盗的风险。由于在合约授权时发起的是无额度限制授权，因此，一旦授权许可通过，合约就有权转移用户所有的资产。

成都链安郑重提醒，用户在进行合约授权时，使用多少，授权多少。这样操作的话，即便不幸遭遇类似欺诈性质的合约，也不会殃及钱包中的本金。如果用户不太清楚自己的授权情况，可以通过以下工具进行查询。

1、https://approved.zone

2、https://revoke.cash

3、https://tac.dappstar.io/#/

小结

于DeFi领域，用户获得新币的门槛大大降低，通过组合资产投资的确可能在短期内实现大规模的增值收益。但是，用户资产可能面临的风险状况就变得更为复杂，在这点上必须引起高度注意。

在DeFi这个“黑暗森林”，大胆冒险是禁忌一般的行为。用户资产不仅要受到客观行情波动的影响，质押时是否遭受“清算”也无法预知，而合约中的人为陷阱更是无处不在。

尤其是，不少DeFi项目都存在代理转账的逻辑，多数项目方也会直接要求用户授权最大值。也就是说，用户授权后，某些不良合约将利用留“后门”的手段，反噬用户所持的全部资产。

因此，对于用户而言，来自合约的一切许可请求都要格外注意，宁理性退场，不冒然入坑，时刻警惕恶意项目方的此类“后门”陷阱。

标签：UNI区块链UNICATSuni币下一轮牛市价格预测区块链专业就业前景UNICOREShibaTsuka

LTC热门资讯