FOR:慢霧：DeFi 量化對沖基金 Force DAO 項目 FORCE 代幣被大量增發

鏈聞消息，據慢霧區消息，DeFi量化對沖基金ForceDAO項目的FORCE代幣被大量增發。經慢霧安全團隊分析發現，在用戶進行deposit操縱時，ForceDAO會為用戶鑄造xFORCE代幣，并通過FORCE代幣合約的transferFrom函數將FORCE代幣轉入ForceProfitSharing合約中。但FORCE代幣合約的transferFrom函數使用了if-else邏輯來檢查用戶的授權額度，當用戶的授權額度不足時transferFrom函數返回false，而ForceProfitSharing合約并未對其返回值進行檢查。導致了deposit的邏輯正常執行，xFORCE代幣被順利鑄造給用戶，但由于transferFrom函數執行失敗FORCE代幣并未被真正充值進ForceProfitSharing合約中。最終造成FORCE代幣被非預期的大量鑄造的問題。此漏洞發生的主要原因在于FORCE代幣的transferFrom函數使用了「假充值」寫法，但外部合約在對其進行調用時并未嚴格的判斷其返回值，最終導致這一慘劇的發生。慢霧安全團隊建議在對接此類寫法的代幣時使用require對其返回值進行檢查，以避免此問題的發生。ForceDAO對此表示，「團隊已意識到xFORCE合約漏洞，xFORCE合約上沒有更多的資金可供利用。所有其他的資金庫都是安全的。團隊將在未來幾個小時內提供報告和下一步行動。」

慢霧：NEXT空投領取資格檢查通過默克爾證明進行，沒有資格領取空投的用戶無法繞過檢查領取他人空投:金色財經報道，據慢霧區情報，有部分賬戶的NEXT代幣被claim到非預期的地址，慢霧安全團隊跟進分析后分享簡析如下：

用戶可以通過NEXTDistributor合約的claimBySignature函數領取NEXT代幣。其中存在recipient與beneficiary角色，recipient角色用于接收claim的NEXT代幣，beneficiary角色是有資格領取NEXT代幣的地址，其在Connext協議公布空投資格時就已經確定。

在用戶進行NEXT代幣claim時，合約會進行兩次檢查：一是檢查beneficiary角色的簽名，二是檢查beneficiary角色是否有資格領取空投。在進行第一次檢查時其會檢查用戶傳入的recipient是否是由beneficiary角色進行簽名，因此隨意傳入recipient地址在未經過beneficiary簽名的情況下是無法通過檢查的。如果指定一個beneficiary地址進行構造簽名即使可以通過簽名檢查，但卻無法通過第二個對空投領取資格的檢查。

空投領取資格檢查是通過默克爾證明進行檢查的，其證明應由Connext協議官方生成，因此沒有資格領取空投的用戶是無法繞過檢查領取他人的空投的。[2023/9/5 13:19:43]

慢霧：過去一周Web3生態系統因安全事件損失近160萬美元:6月26日消息，慢霧發推稱，過去一周Web3生態系統因安全事件損失近160萬美元，包括MidasCapital、Ara、VPANDADAO、Shido、Slingshot、IPO、Astaria。[2023/6/26 22:00:21]

聲音 | 慢霧：警惕“假充值”攻擊:慢霧分析預警，如果數字貨幣交易所、錢包等平臺在進行“EOS 充值交易確認是否成功”的判斷存在缺陷，可能導致嚴重的“假充值”。攻擊者可以在未損失任何 EOS 的前提下成功向這些平臺充值 EOS，而且這些 EOS 可以進行正常交易。

慢霧安全團隊已經確認真實攻擊發生，但需要注意的是：EOS 這次假充值攻擊和之前慢霧安全團隊披露過的 USDT 假充值、以太坊代幣假充值類似，更多責任應該屬于平臺方。由于這是一種新型攻擊手法，且攻擊已經在發生，相關平臺方如果對自己的充值校驗沒有十足把握，應盡快暫停 EOS 充提，并對賬自查。[2019/3/12]

Tags：FORCEFORORCNEXWork Force CoinNFT Platform Indexorc幣今日行情NEXT幣

BNB