BTC/HKD+0.14%
ETH/HKD-0.69%
LTC/HKD+0.76%
DOT/HKD+0%
ADA/HKD-0.47%
SOL/HKD-0.09%
XRP/HKD+1.45%
DOGE/US+0.01%內容來自“大橙子&小同的干貨鋪”的知識星球，作者康納Repeat。
1. AdminUpgradeabilityProxy天然的負面影響一代理的邏輯合約可以被替換
2.AdminUpgradeabilityProxy權限沒有移交timelock一項目方不受時間鎖約束，可以隨意使用1。所說的能力，替換邏輯合約最終項目方無限制地將正常合約替換成了攻擊合約，卷款跑路。
LendHub被黑簡析：系LendHub中存在新舊兩市場:金色財經報道，據慢霧安全區情報，2023 年 1 月 13 日，HECO 生態跨鏈借貸平臺 LendHub 被攻擊損失近 600 萬美金。慢霧安全團隊以簡訊的形式分享如下：
此次攻擊原因系 LendHub 中存在兩個 lBSV cToken，其一已在 2021 年 4 月被廢棄但并未從市場中移除，這導致了新舊兩個 lBSV 都存在市場中。且新舊兩個 lBSV 所對應的 Comptroller 并不相同但卻都在市場中有價格，這造成新舊市場負債計算割裂。攻擊者利用此問題在舊的市場進行抵押贖回，在新的市場進行借貸操作，惡意套取了新市場中的協議資金。
目前主要黑客獲利地址為 0x9d01..ab03，黑客攻擊手續費來源為 1 月 12 日從 Tornado.Cash 接收的 100 ETH。截至此時，黑客已分 11 筆共轉 1,100 ETH 到 Tornado.Cash。通過威脅情報網絡，已經得到黑客的部分痕跡，慢霧安全團隊將持續跟進分析。[2023/1/13 11:11:00]
1.項目方故意“坦誠”給出合約的timelock轉移權限記錄，展示的確執行了changeAdmin方法移交權限給timelock 地址，用于混淆視聽
Beosin：UVT項目被黑客攻擊事件簡析，被盜資金已全部轉入Tornado Cash:金色財經報道，據Beosin EagleEye 安全預警與監控平臺檢測顯示，UVT項目被黑客攻擊，涉及金額為150萬美元。攻擊交易為0x54121ed538f27ffee2dbb232f9d9be33e39fdaf34adf993e5e019c00f6afd499
經Beosin安全團隊分析，發現攻擊者首先利用開發者部署的另一個合約的具有Controller權限的0xc81daf6e方法，該方法會調用被攻擊合約的0x7e39d2f8方法，因為合約具有Controller權限，所以通過驗證直接轉走了被攻擊合約的所有UVT代幣，Beosin安全團隊通過Beosin Trace進行追蹤，發現被盜資金已全部轉入Tornado Cash。[2022/10/27 11:48:46]
2.0x7E0c621Ea9F7aFD5b86A50B0942eAee68B04A61C proxy 合約，changeAdmin方法內部調用追蹤到304行，實際寫入key為ADMIN_ SLOT， 但讀取key卻為ADMIN_ SLOT。即O (歐)和0 (零)的一個細微差異，讓changeAdmin方法完全失效，從而達到了已經移交權限的假象
慢霧：跨鏈互操作協議Nomad橋攻擊事件簡析:金色財經消息，據慢霧區消息，跨鏈互操作協議Nomad橋遭受黑客攻擊，導致資金被非預期的取出。慢霧安全團隊分析如下：
1. 在Nomad的Replica合約中，用戶可以通過send函數發起跨鏈交易，并在目標鏈上通過process函數進行執行。在進行process操作時會通過acceptableRoot檢查用戶提交的消息必須屬于是可接受的根，其會在prove中被設置。因此用戶必須提交有效的消息才可進行操作。
2. 項目方在進行Replica合約部署初始化時，先將可信根設置為0，隨后又通過update函數對可信根設置為正常非0數據。Replica合約中會通過confirmAt映射保存可信根開始生效的時間以便在acceptableRoot中檢查消息根是否有效。但在update新根時卻并未將舊的根的confirmAt設置為0，這將導致雖然合約中可信根改變了但舊的根仍然在生效狀態。
3. 因此攻擊者可以直接構造任意消息，由于未經過prove因此此消息映射返回的根是0，而項目方由于在初始化時將0設置為可信根且其并未隨著可信根的修改而失效，導致了攻擊者任意構造的消息可以正常執行，從而竊取Nomad橋的資產。
綜上，本次攻擊是由于Nomad橋Replica合約在初始化時可信根被設置為0x0，且在進行可信根修改時并未將舊根失效，導致了攻擊可以構造任意消息對橋進行資金竊取。[2022/8/2 2:52:59]
1.高度警惕任何包含proxy 方式合約的項目，若未經timelock約束，合約有被瞬間替換的風險
2. never trust， always verify！ 不要相信項目方給出的timelock“證據”， 對于未經審計的fork項目，務必逐個contract做好與原項目的diff (如果你做到了，就可以躲過meerkat的障眼法)
3.基于1更要養成良好的approve 管理意識，meerkat在跑路后仍然通過無限授權，盜取用戶錢包內資產，窮兇極惡。切勿麻痹大意，你永遠不知道你曾經授權過的土礦，是否包含proxy模式，是否已經替換了惡意合約！
4. timelock是安全底線，無論是HECO的LLC，還是BSC的popcornswap、meerkat，犯罪方式越發隱蔽的，但萬變不離其宗，都是無timelock、假timelock。 珍愛生命，遠離無鎖土礦
昨天案發后幾乎沒有看到個人或團隊有明確解析，考慮到未來模仿犯罪不可避免，索性公開信息希望做到安全教育的目的。老農務必提高自己的姿勢水平，留意此類風險。最后祝大家挖礦出入平安。
Tags：PROTIMMELELOCArbitrove ProtocolSantiment Network Tokencamel幣官網PancakeLock
要說最近區塊鏈領域最有爭議性的話題恐怕莫過于以太坊的 EIP-1559 交易費改革提案了,烤仔搬完了手頭的磚也忍不住蹭熱度來吐槽兩句.
1900/1/1 0:00:00中國新年剛過,就拉開了CBDC落地大幕,2021年注定是央行數字貨幣大戰最激烈的一年。昨日（2月24日）,中國人民銀行2月24日披露,香港金融管理局、泰國中央銀行、阿拉伯聯合酋長國中央銀行及中國.
1900/1/1 0:00:00以下是與幣圈老鐵青城往事關于Osasion歐賽項目發展現象的一次訪談,站在旁觀者的身份通過投資者老鳥的視角來看待Osasion項目的一些問題,整理如下.
1900/1/1 0:00:00從DeFi熱潮盛行之時,擴容就一直是以太坊難以擺脫的魔咒,尤其是今年BSC等其他公鏈項目的成熟以及波卡平行鏈上線的有序推進,對于可能出現的“蠶食效應”,官方的壓力也越來越大.
1900/1/1 0:00:00上個月底,波卡創始人 Gavin Wood 博士與區塊鏈投資媒體 Real Vision 副主編 Sebastian Moonjava 進行了一個多小時的深度對談.
1900/1/1 0:00:00文章系金色財經專欄作者幣圈北冥供稿,發表言論僅代表其個人觀點,僅供學習交流！金色盤面不會主動提供任何交易指導,亦不會收取任何費用指導交易,請讀者仔細甄別防上當.
1900/1/1 0:00:00
以太坊價格
