BTC/HKD+0.94%
ETH/HKD+0.82%
LTC/HKD+0.59%
DOT/HKD+0.25%
ADA/HKD-1.31%
SOL/HKD-0.28%
XRP/HKD+0.02%
DOGE/US+0.02%前言
據鏈聞消息，DeFi項目YFValue發布公告稱，團隊于昨日在YFV質押池中發現一個漏洞，惡意參與者借此漏洞對質押中的YFV計時器單獨重置。目前已有一個惡意參與者正試圖借此勒索團隊。慢霧安全團隊對此進行了深入分析，以下是相關技術細節。
細節分析
分析了一大堆，回到我們最初的問題，惡意的用戶是怎么鎖定其他用戶的資產的呢？
回到用戶抵押的邏輯，可以發現抵押邏輯中的stakeOnBehalf函數本意是幫助進行抵押，但是這里有個問題，如果這個用戶先前已經有抵押了呢？那通過對已經抵押的用戶再次進行抵押，比方說抵押1個YFV，是不是就能以極低的成本重置已抵押的用戶的計時器，導致用戶在withdraw時無法成功調用。更進一步，假設YFV抵押用戶已經成功調用了stakeReward函數，在快要達到unfrozenStakeTime所規定的時間時，惡意的用戶可以通過stakeOnBehalf函數給這個用戶抵押少量資產，即可再次對抵押獎勵進行鎖定，理論上這樣往復循環，即可使用戶無法取出自己的資產，但這個問題并不會導致資金損失。攻擊流程如下：
前車之鑒
這是本月出現的第二個沒有經過審計的DeFi項目所暴露出的風險，根據YFValue的官方聲明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，項目代碼是由富有經驗的開發者進行開發的，同時借鑒了其他成功的項目的代碼，但是仍無可避免的出現了風險。術業有專攻，安全審計一方面需要項目方的正向思維，另一方面，還是需要專業的安全團隊的逆向思維，從專業的黑客角度進行模擬對抗，發現問題。
修復方案
通過分析代碼和漏洞細節，針對本次漏洞，修復方案也很簡單，只要在抵押的時候檢查用戶的抵押狀態是否為已經抵押，如果已經抵押，則不允許再次抵押。或者對每次的抵押進行單獨的處理，不能對先前的抵押狀態產生影響。
來源：火鳥財經,作者：阿呆這是本月第三次了,同樣是Bitfly發現了問題。8月30日,Bitfly官方推特表示,當天ETC又遭遇了一次大規模51%攻擊,導致7000多個區塊發生重組,相當于大約2.
1900/1/1 0:00:00根據Crryptowatch的數據,以太坊的價格創下了兩年來的新高。盡管突破了445美元,但以太坊期貨未平倉合約仍然穩定在15億美元的新高.
1900/1/1 0:00:00作者：照生 前言 為更好了解全球區塊鏈產業2020年8月發展狀況,01區塊鏈聯合零壹智庫、數字資產研究院,從區塊鏈投融資、主流加密數字貨幣行情、政策導向、國內產業發展動態及全球要聞等維度.
1900/1/1 0:00:00全球最大的比特幣交易平臺之一BitMEX,現已正式被限制在至少兩個加拿大省內運營。根據安大略省證券委員會的要求,BitMEX將很快限制來自安大略省的加拿大投資者對其平臺的訪問.
1900/1/1 0:00:008月22日,“2020全球區塊鏈算力大會暨新基建礦業峰會”在成都市成華區開幕。會議由市新經濟委、市科技局、成華區政府指導,由成華區新經濟和科技局、成華區投促局、龍潭新經濟產業功能區管委會、巴比特.
1900/1/1 0:00:00DeFi之火越燒越旺之時,幣市機構投資者帶著資金跑了過來。7月,先是出現了交易所背景的基金高調布局；8月,一些投資機構宣稱成立了專項基金投資、孵化DeFi.
1900/1/1 0:00:00
以太坊價格
internal{</p>
<p> 分析 | 這個周末注定不太平:AKG-Mafee認為：行情走勢目前并無新意，依然處于7100-7380的震蕩區間之內，只是微觀數據有少許變化： </p>
<p> 1.各大期貨現貨平臺的Orderbook中短線拋壓迅速堆積； </p>
<p> 2.現貨以杠桿買盤的主力資金已經出現觀望的跡象； </p>
<p> 3.投資者的耐心已經接近極限水平，短線虧損帶來的焦躁已經讓投資者無所適從； </p>
<p> 這個周末應該不會安靜的度過，建議各位投資者注意投資風險。[2019/12/14]</p>
<p> _totalSupply=_totalSupply</p>
<p> 可以看到這里只是簡單的把對應的token用transferFrom的方式轉入到合約中，沒有什么特別的邏輯點。到這里整個抵押流程就很清晰了，接下來是收益的過程。計算用戶收益的是stakeReward函數，領取收益的為withdraw函數，代碼分別如下：</p>
<p> 分析 | 風險信號出現 BTC日線收盤價已連續三天位于60日均線下方:據OKEx季度合約數據顯示，至今日早8點（格林威治0點）日線收市，比特幣季度合約已經連續3日收盤價位于60日均線下方。OKEx分析師Charles認為，60日均線通常被看作市場中長期重要成本線，眾多投資者將其作為重要的投資參考。下破后連續三日未能再次站上可認為有效跌破，這是新的風險信號，預示中期弱勢格局大概率仍將延續，提醒投資者提前做好風險控制措施。比特幣季度合約日內阻力位：10300美元，支撐位9000美元。[2019/7/26]</p>
<p> functionstakeReward()publicupdateReward(msg</p>
<p> 分析 | BTC目前仍處于震蕩行情 回調可補倉:昨日夜間BTC帶領主流幣直線拉升，從3700美元上漲至3877美元高位，目前在3810美元和3850美元之間小幅盤整。根據BTC/USD每日匯流檢測器顯示，金色財經分析師認為市場需要突破兩個阻力位才能達到4000美元，這兩個強阻力位分別是3865美元和3890美元。 其中3865美元處于每周斐波那契38.2％的回撤位和每月斐波那契38.2％的回撤位，而3890美元是小時布林帶上軌和每日斐波納契161.8％的回撤位。支撐位是3780美元和3730美元，其中3780美元是每周斐波那契23.6％回撤位，同時也是4小時布林帶中軌位置，而3730美元是每日斐波那契38.2％的回撤位。根據Bitfinex上多空比可以看出目前多方占據優勢，目前多頭量能并沒有超過之前下挫的量能，說明BTC仍處于震蕩行情，操作上回調支撐位可以適當補倉。 </p>
<p> 分析師所發表言論僅代表其個人觀點，據此操作風險自擔！[2019/3/6]</p>
<p> 通過分析計算收益和領取收益的代碼，發現邏輯也很簡單，stake函數首先是通過updateReward修飾器更新了用戶的獎勵，然后使用getReward函數計算了用戶的獎勵，并把抵押時間設置成當前區塊時間。最后，用戶在提取獎勵的時候，withdraw函數會首先計算當前的區塊時間，再與unfrozenStakeTime函數中計算出的時間進行對比，只有當前區塊時間大于unfrozenStakeTime計算出的時間，才允許提現。unfrozenStakeTime的代碼如下：</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 從代碼中得知，unfrozenStakeTime是使用用戶的上次抵押時間加上FROZEN_STAKING_TIME常量得出鎖定時間，只要超過時間，就能通過withdraw函數提現收益。整個抵押和領取收益的簡化流程如下：</p>
<p> <img alt=)