最近驚聞BSC上2個土礦又跑路了,金額在千萬級別,有一個礦朋友還中招了,實在是看不下去,和大家談談,如何避免大部分土礦的坑。
土礦一般來講,抽走資金一般這幾個步驟:
通過高APY吸引你沖動梭哈,畢竟高APY都是真金白銀支撐的,收益這么高大戶早來了,正所謂的收益越高,風險越大
通過一些“所謂的”安全措施讓你覺得風險很低
盜取資金之后馬上換為非erc代幣或者無法凍結的代幣,然后等待混幣機會逃走
看到了這個步驟,你應該明白了,如果能夠做到:
不開源的土礦一律不碰,不管他APY寫的多么誘人
開源的土礦,如果要參與,一定是在diff合約,檢查變量參數之后,少量資金參與。
那么相信你能規避大部分風險,下面簡單講一下怎么diff合約,怎么檢查參數,以及一些衍生的思考。
美SEC委員:如果沒有加密貨幣監管規則,美國可能會落后于歐洲:金色財經報道,美國證券交易委員會(SEC)委員Hester Peirce警告稱,如果沒有監管加密資產市場的規則,美國可能會落后于歐盟和英國。她表示,布魯塞爾和倫敦制定的框架可能成為華盛頓立法者的藍圖。目前,美國沒有制定監管加密資產的制度,而是選擇針對加密活動發起一波執法案件,主要由美國證交會主席根斯勒領導。 Peirce是SEC的五名成員之一,她經常在加密貨幣監管問題上與根斯勒產生分歧。根斯勒拒絕為加密市場制定新的規則,認為現有的法律已經足夠明確。美國對數字資產的打擊引發了人們的疑問,即該行業是否會離開美國,在被認為對加密業務友好的海外司法管轄區設立公司。 Peirce說,我們被這個問題所困擾,如果人們把公司搬到其他司法管轄區會怎么樣。關鍵是,如果我們建立一個良好的監管制度,人們就會來。[2023/5/11 14:58:04]
第一步:diff
烏茲別克斯坦批準加密新規,涉及資產注冊、發行以及流通:12月3日消息,烏茲別克斯坦總統領導下的國家遠景項目局(NAPP)近期發布了一項新的法規,規定了加密資產在該國的發行、注冊和流通的程序。此舉目的是為商業實體創建一種新機制,允許本地公司通過硬幣和代幣吸引資金。
該文件提供了加密資產的基本法律定義,并對不同的類型進行了區分。它介紹了對加密貨幣發行人、保存人和托管人的要求,并確定了他們的義務。該機構還批準了建立和維護加密資產電子登記冊的規則,并通過了保障加密資產及其持有人相關權利的會計準則。
加密貨幣托管機構將負責為加密貨幣資產的發行、登記、流通和存儲提供服務。NAPP表示,發行人可以使用它們或其他電子平臺,并指出,硬幣的面值必須只用國家法幣,即烏茲別克斯坦索姆表示。
NAPP強調,禁止發行無擔保的代幣。禁止在加密貨幣的名稱中使用“國家”、“國家擔保”、“國家支持”、“烏茲別克斯坦”、“烏茲別克”、“國家”和“索姆”等字眼。NAPP進一步警告,不要進行任何與該國加密資產流通有關的未經授權的活動,或由未獲得許可的提供商使用服務,這同樣適用于參與加密貨幣挖礦的公司。(news.bitcoin)[2022/12/3 21:19:46]
這里以在線對比工具?https://www.diffchecker.com/?為例
巴哈馬證券委員會:將采取措施保護FTX的資產及債權人利益:11月24日消息,巴哈馬證券委員會表示,將與有關當局合作,采取措施保護FTX數字市場的資產以及客戶和債權人的利益。[2022/11/24 8:04:00]
注意一點,diff的合約需要是你真實要轉幣進去的合約地址
首先拿到原版的MasterChef代碼:
https://bscscan.com/address/0x73feaa1ee314f8c655e354234017be2193c9e24e#code
接著這里以popcornswap為例:
https://bscscan.com/address/0x584527ded17aceb3dc617c40b04e8fe9afc57096#code
安全團隊:超5000個Solana錢包資金被盜,漏洞或影響ETH用戶:8月3日消息,區塊鏈審計安全團隊OtterSec在社交媒體上發文表示,過去幾個小時內有超過5000個Solana錢包資金被盜取,OtterSec分析顯示,這些交易是由實際所有者簽署,表明存在私鑰泄露。該漏洞還可能影響ETH用戶。[2022/8/3 2:55:23]
分別吧代碼復制到兩邊,開始diff
這里我保存了diff結果,可以直接點這個link:https://www.diffchecker.com/VqaCP3DK
像結果中字符串的修改,或者//后的內容都可以忽略
如上圖這種,可以忽略
如果是原版添加的代碼,土狗刪除的,一般也不重要,重點是土狗和原版代碼不同的地方:
Glassnode:長期持有者掌握80%的比特幣流通供應:金色財經消息,Glassnode數據顯示,80%的比特幣流通供應掌握在長期持有者(LTHs)手中。LTH指持有比特幣至少6個月的用戶,通常是對比特幣市場周期底部形成強有力支撐的人。LTH在比特幣市場被認為是“smart money”,他們通常在市場低迷期間積累比特幣。一旦進入牛市,LTH就會分配積累的比特幣,并獲得大部分利潤,鏈上數據有力地支持了這一理論。(Crypto Slate)[2022/7/23 2:33:21]
上圖為關鍵差異,土狗修改了原版的migrator方法,還增加了個一個叫做preUpgrade的函數。
看到這里,如果你對合約一無所知,安全期間,就可以直接關閉頁面保平安了。
這里簡單分析一下差異,首先migrate方法,這個是sushiswap繼承的代碼,原版代碼就有將池子里錢掏空的可能性。
popcorn這里,新的preUpgrade方法,是public的,代表所有人都能調用,就是一個非常可疑的點,理論上在migrator設置為惡意地址的時候能夠讓migrator掏空所有的錢。
第二步:檢查變量
點擊土狗合約的這個按鈕:
檢查migrator,owner等變量:
可以看到migrator是0,owner是一個timelock地址,土狗的一種套路是,聲稱自己有timelock,給出了合約地址,但owner并不是timelock的地址,那明顯就是騙局了。
當然timelock合約,也可以做小動作,所以也需要做diff操作,這里他的timelock沒有問題,就不贅述了
那么完成了上面兩步,很多資深礦工可能會覺得,timelock有的,合約變量沒問題,雖然有代碼存在風險,但是有timelock啊,沒事,沖tmd,對低級土狗而言,可能確實就無風險了,但很可惜,popcornswap是一個略高級的土狗。看我下面分解盜幣過程:
項目方通過調用:
https://bscscan.com/tx/0x38f75296e3343228c0309f8c99a24ca4f4812372f2b032f38ce25ac5a992b768
preUpgrade方法,讓自己的地址有了合約里token的transferFrom權限
看前面的代碼可以發現,preUpgrade確實又這個功能,但他只會給migrator這個權限,而migrator又是0,修改migrator需要經過時間鎖,那么他是怎么做到的呢?
答案是:項目方在部署合約后,加timelock之前,把migrator改成了自己的地址,并通過preUpgrade提前獲取了里面所有token的allowance,然后再改回migrator,添加時間鎖。
因為這些tx混在項目方添加池子的tx中,普通人根本不可能去檢查一個池子之前的每一個tx,所以popcornswap得以在2小時內盜取2mil的代幣。
這個作案手法也引起了我的思考,目前并沒有有效的工具,能夠查出一個合約地址里,tokenallow給其他地址的情況,因此非常難發現問題。普通的用戶,沒有能力,也不太可能發現這個端倪,甚至我相信在本次事件中,一些對合約代碼有所了解的土礦老司機也一并翻車。
那么popcornswap的解析就講到哪里,下面是我個人的一些思考,以及私貨
后續思考
本次作案手法曝光之后,相信未來的土礦也很有可能利用類似的手法進行盜幣,而對普通用戶而言防不勝防,事實上最近2天bsc上就有2個礦翻車,金額還都不小。
作為交易所公鏈,不管是bsc,還是heco,他們的核心競爭力是什么?是去中心化嗎?
我個人認為不是的。
bsc,heco等,他們最大的優勢應該是1.低手續費2.交易所公信力背書
以bsc為例,作為一個類似DPos的設計公鏈,跨鏈橋非去中心化,以及上面的大部分資產都是幣安發放的情況下,即使代碼開源,談何去中心化?
個人認為,反而應該反其道行之,引入類似EOS的仲裁機制,最大程度的保證用戶在鏈上的的財產安全才是生存之道。
本次popcornswap事件以及最新翻車的土礦,幣安目前都還在踢皮球階段,要求用戶去報案或者說我們在監視黑客地址等等,而不是想辦法幫用戶挽回損失,長此以往,當土礦跑路越來越多的情況下,請問幣安,誰還會去用BSC?
如果類似事件在Heco或者其他交易所公鏈發生,而他們擁有類似的安全機制,保證了用戶的資產安全,這樣大部分散戶才敢放心的在上面繼續使用,畢竟,你作為交易所背書的公鏈,優勢不是,也不可能會是去中心化。
希望所有交易所公鏈技術團隊三思,通過代碼升級保證自己公鏈的安全性來差異化競爭,也許還不太晚。
原標題:Popcornswap合約解析教你如何避免大部分土礦風險
作者:iNexusPro
Tags:RATTORATORATOFilcoin Standard Full Hashrate TokenTorii FinanceGATOR幣ATOR價格
1月30日,CFTC公布了最新一期CME比特幣期貨周報,最新統計周期內BTC出現了約6000美元的大幅回調,并一度跌破30000美元整數大關.
1900/1/1 0:00:001.Defi簡介 1.1概念 DeFi,全稱為DecentralizedFinance,即“去中心化金融”或者“分布式金融”.
1900/1/1 0:00:00尊敬的用戶: AKRO將在WBF開放區,掘金區、波卡區上線AKRO/USDT交易對,具體時間安排如下:充幣時間:2021-1-2917:00交易時間:2021-1-2917:00提幣時間:202.
1900/1/1 0:00:00親愛的BKEXer:? BKEXGlobal現已完成EDG維護升級,并已恢復EDG的充值功能和提現功能.
1900/1/1 0:00:00鏈聞消息,隱私層協議項目KeepNetwork公布2021年路線圖。路線圖顯示,社區治理將是Keep未來幾個月發展的主要重點,官方將逐步移交網絡職責和控制權給社區,朝著成熟的DAO邁進.
1900/1/1 0:00:00今天狗幣超過ltc,這是不科學的;面對不科學的情況,要有科學的態度。不要試圖去賺這種不科學的錢。沒有合理的投資邏輯支撐我去賺這樣的錢,怎么都不對。因此,在心態上要放松.
1900/1/1 0:00:00