3CRV:慢霧預警：ADX合約設計疑似存在“后門”風險_3CRV幣

安全公司慢霧發布安全預警稱，ADX合約設計疑似存在“后門”風險。具體細節為：在合約中grantVestedTokens方法寫了轉賬是否可以允許被revoke，可以在grants這個mapping中或者tokenGrant中查到用戶生成的這個TokenGrant到底允不允許revoke,如果是允許revoke則要慎重，用戶可以通過revokeTokenGrant撤回，這樣holder就會受到損失，代幣可能會回到原本用戶的余額上或者轉到0xdead,這取決于burnsOnRevoke的值。ADX項目業務設計比較特殊，如果在對接交易所的話，沒有說明對接的方式，以及一些特殊方法的調用和判斷，會造成交易所損失，請交易所注意對接時候相關細節處理。

慢霧發布Value DeFi協議閃電貸攻擊簡要分析:據慢霧區消息，Value DeFi遭遇閃電貸攻擊的分析如下：

1.攻擊者先從Aave中借出8萬個ETH；

2.攻擊者使用8萬個ETH在Uniswap WETH/DAI池中用閃電貸借出大量DAI和在Uniswap WETH/DAI兌換大量USDT；

3.用戶調用ValueMultiVaultBank合約的deposit合約使用第2步中小部分DAI進行充值，該合約中一共有3種資產，分別是3CRV、bCRV、和cCRV。該合約在鑄幣時會將bCRV, cCRV轉換成以3CRV進行計價，轉換完成后，Value Defi合約根據總的3CRV價值和攻擊者充值的DAI數量計算mVUSD鑄幣的數量；

4.攻擊者在Curve DAI/USDC/USDT池先使用第二步中剩余的大部分DAI和USDT兌換USDC，拉高USDC/3CRV的價格；

5.攻擊者發起3CRV提現，這時會先將合約中的bCRV, cCRV轉換成以3CRV計價，由于USDC/3CRV價格已被拉高，導致bCRV, cCRV能換算成更多的3CRV；

6.攻擊者使用3CRV換回DAI，并在Uniswap中兌換回ETH，然后歸還Aave的閃電貸 。

總結：由于 Value Defi 合約在鑄幣過程中將合約資產轉換成 3CRV 時依賴 Curve DAI/USDC/USDT 池 中 USDC/3CRV的價格，導致攻擊者可以通過操控 Curve DAI/USDC/USDT 池 中 USDC/3CRV 的價格來操控 mVUSD/3CRV 的價值，從而獲利。[2020/11/15 20:52:09]

動態 | 慢霧情報：本次AWS 故障主要受影響區域是日本東京周邊:據慢霧情報，針對剛剛突發的“AWS 故障影響數字貨幣交易所”事件，本次 AWS 故障主要位于區域是日本東京服務，具體可見AWS 全球服務狀態鏈接，點擊“Asia Pacific”（詳見原文鏈接）。

如果是 AWS 云數據庫產品(RDS)故障，數據庫故障如果業務沒處理好，確實有可能出現各種怪異 bug，包括價格異動。這方面的容災機制需要注意。[2019/8/23]

聲音 | 慢霧預警：DNS劫持靜默攻擊全球蔓延 一旦劫持 用戶數字資產可被輕易竊取:慢霧安全團隊注意到 FireEye 近日的情報披露《全球 DNS 劫持活動：大規模操縱 DNS 記錄》。據悉，其中最關鍵的部分是明確指出有三種 DNS 劫持手法可以完成靜默攻擊（用戶無法察覺訪問的目標網站或 Web 服務是否已經被劫持）。如果數字貨幣交易所遭遇了DNS靜默攻擊，將導致交易所用戶的數字資產可能被輕易盜取。慢霧安全團隊進一步解釋道，“這個攻擊很高端，但也不難，遲早會有被這樣手法攻擊的數字貨幣相關平臺。”不過，目前還未知是否已經有交易所遭遇類似攻擊。[2019/1/11]

Tags：CRVUSD3CRVDAICVXCRVUpbit可以購買usdt嗎3CRV幣YFDai Finance

PEPE幣