BTC/HKD+0.05%
ETH/HKD+0.42%
LTC/HKD+0.41%
DOT/HKD-0.32%
ADA/HKD+0.19%
SOL/HKD-0.18%
XRP/HKD+2.27%
DOGE/US-0.58%CreamFinance是DeFi領域的知名去中心化借貸協議。項目方在業內首先推出了白名單機制的IonBank借貸機制。這一創新一方面為DeFi借貸提供了更為便捷的工具，另一方面也為黑客攻擊創造了條件。
在今年2月13日，CreamFinance就因為其IonBank被黑客利用并輔以閃電貸工具遭到攻擊。時隔半年，在8月30日，CreamFinance再次遭到閃電貸攻擊。
本次攻擊是因為項目中的APM代幣合約與借貸合約的cToken合約不適配造成重入漏洞，被黑客利用。
在本次攻擊中，攻擊者的地址為：0xce1f4b4f17224ec6df16eeb1e3e5321c54ff6ede。
攻擊合約的地址為：0x38c40427efbAAe566407e4CdE2A91947dF0bD22B。
獨家 | 路財主：比特幣幾乎是目前全世界流動性最好的資產:今日，由金色財經獨家支持以《全球資產暴跌，比特幣為何躺槍進行》為主題的訪談上，知名投資人路財主表示，所有流動性最好的資產都被拋售，黃金也不例外，比特幣幾乎是目前全世界流動性最好的資產，當然也會遭到拋售，隨著股市的下跌，所有資產都開始暴跌，在3.12-3.13這天，就是比特幣突然被拋售的，由此造成了價格的暴跌，以及隨后一直到現在的大幅度波動，而且，前幾天比特幣幾乎是與美股同步在波動，比特幣價格就是那些大戶他們在某些時刻的買和賣才造成了價格的暴漲和暴跌，在3.13日一天(按照UTC世界標準時間），成交了約1490萬枚比特幣。[2020/3/19]
被攻擊的合約有兩個，合約及地址分別為：
APMtoken合約：0xff20817765cb7f73d4bde2e66e067e58d11095c2
獨家 | 金色財經2月18日礦幣數據播報:金色財經報道，據幣印礦池數據顯示：
主流幣挖礦日收益分別為：BTC（￥1.11/T）、ZEC（￥0.46/T）、LTC（￥21.41/G）、BSV（￥1.11/T）、BCH（￥1.16/T）、DASH（￥0.20/G）。
當前熱門礦機數據及凈收益分別為：芯動T3+（BTC，￥31.42）、芯動A9（ZEC，￥17.31）、螞蟻L3+（LTC，￥2.81）。[2020/2/18]
cToken合約：0xd06527d5e56a3495252a528c4987003b712860ee
我們先看cToken合約中出現漏洞的代碼片段：
獨家 | 鄶冬評FCoin事件：如果是現實銀行會引發金融危機海嘯:針對今日“張健發布FCoin內部真相”一事，98年的加密分析師鄶冬表示：消息面預計會給此時正在做空的沽空機構帶來巨大契機，我看外網還沒有報道這件事情，但很容易會被媒體和社區過度解讀為「FCoin有13000枚BTC(相當于1.2億多美元)的資產被盜」，這確實不是什么好消息。FCoin目前被全網偵測到的熱錢包資產，大概還有600多枚BTC，假設按13000枚未付現BTC來計算的話，這之間的比例數字已經高達21。什么概念呢？相當于你存在銀行的錢，一夜蒸發了95%，可以說是已經引發金融危機海嘯了，預計這件事件帶來的負面影響，會持續很長一段時間。[2020/2/17]
上面的代碼所實現的邏輯是在轉賬完成之后，才修改借貸額度狀態accountBorrows。
獨家 | 陶鷗：任何共識機制均是在中心化和多中心化之間尋求平衡點:POW共識機制近日遭V神質疑能耗大、易形成算力集中。對此，MATRIX CEO陶鷗在接受金色財經獨家采訪時指出：“PoW通過能源來買信任是否值得主要取決于PoW的工作量證明中的工作量是在用于計算什么結果，計算Hash，當然不值得，因為Hash對人類和社會沒有任何貢獻，每個比特幣6000美金的成本純屬浪費。任何一種共識機制都是在中心化和多中心化之間尋求平衡點的，不可否認的是PoW比PoS有更好的安全性，區別在于怎么優化PoW的共識機制。
以太坊“先過度到PoW+PoS，再徹底拋棄pow”的路徑實施目前看來進度很慢。陶鷗對此表示：“這是一個共識改變的問題，這個問題其實很簡單，我們可以把共識看做一個游戲的游戲規則，最初加入游戲的人都是因為認可了游戲規則才會加入的，但當我們提出要改變游戲規則時，我們也必須依據游戲規則來改變游戲規則，就是說共識的改變的達成是必須基于原有共識規則達成一致后才能修改。游戲規則的修改如果會傷害很多老玩家的利益，而老玩家在原有的游戲規則（共識）中還有自己的影響力，這就必然導致游戲規則修改進程的停滯。”[2018/7/12]
這是一個典型的競態問題。
獨家 胡繼曄：區塊鏈改革需深思 不能只靠堵還要靠疏:全球很多國家的銀行都在探索區塊鏈技術，但也有一些金融機構并不打算接受它。對此北京市法學會互聯網金融法治研究會副會長、中國政法大學金融系教授胡繼曄在接受金色財經采訪時指出，歐洲八大金融機構已經宣布將共同開發區塊鏈技術項目，旨在記錄金融權證的發行情況。此外，歐美各國對于ICO持審慎開放的態度，我國去年的9.4新政后全面暫停ICO，需要進行成本收益分析，不能光靠堵，還需要正確的疏導，至于如何改革需要認真考慮。
我們看到，金融企業在區塊鏈領域的探索中還缺乏相關的法律法規，區塊鏈從業人員不知道哪些是對的哪些是錯的，不知道該怎么做，這也是為什么我們要建立區塊鏈金融法治研究中心的原因。
桑坦德銀行已經開始為客戶推出了基于Ripple區塊鏈技術的支付網絡，在胡繼曄看來，這更具創新性。他指出：“我在2015年Ripple幣價格三分錢時嘗試購入了一點，當時主要就是想：唯直接參與才能對新金融形態有更直觀的了解，也保持對區塊鏈金融的敏銳觸覺。未來我們要注重Ripple幣如何防范洗錢行為。”[2018/6/26]
代碼中的doTransferOut函數最終會調用標的代幣合約的transfer函數，在此之后再對與標的代幣關聯的cToken合約的狀態進行修改。
通常cToken對應的標的代幣合約都是標準的ERC-20代幣合約，這類標準的ERC-20代幣合約中的transfer函數中沒有回調函數。但如果標的代幣不是標準的ERC-20代幣合約，其transfer函數帶有回調函數，則會引發重入漏洞。
本次攻擊恰恰就是因為cToken對應的標的代幣不是標準的ERC-20代幣。APM代幣合約是個基于ERC-777標準的合約。這個合約中的transfer函數最后會調用_callPostTransferHooks()函數，在這個函數的最后會有一個回調函數IAmpTokensRecipient.tokensReceived。
下面是與此相關的代碼片段：
在回調函數中，攻擊者可以再次發起交易，而此時cToken還未修改用戶借款的相關狀態，攻擊者卻已經收到借款，可以利用這些借款進行后續的動作。
合約中與cToken修改借款狀態的相關接口已經定義了防重入的鎖?borrowInternal，使用戶無法再次直接從初始的借款合約中借入資金。
borrowInternal的代碼片段如下：
攻擊者也注意到了這一點，于是選擇從一個借貸池借來的cToken，去另一個借貸池借款，以繞開上述防重入鎖的限制。
由于cToken被再次用于借款，因此超過了借款額度。如果攻擊者直接還款則會因為超額借貸而導致第一次借貸交易失敗。因此攻擊者選擇不還款，而是使用另一個地址清算了這個滿足清算條件的cToken，從而完成全部攻擊。
縱觀整個攻擊過程，導致本次攻擊成功的原因有兩個：
1為AMP代幣添加借貸池時，沒有考慮到AMP代幣與借貸合約的適配性
2借貸生成的cToken存在競態條件問題，代碼的實現邏輯沒有嚴格遵循狀態修改要放在外部調用之前的默認規范。
在此，靈蹤安全提醒所有的項目方：編寫Solidity合約代碼時一定要遵循Solidity合約編寫的安全規范，不能心存僥幸。
在此例中Cream.Finance的代碼分叉復制于Compound，盡管后者已經經過考驗，但依然不能認為其代碼是萬無一失的。
根據我們的經驗，即便是利用一些成熟的、歷經考驗的項目代碼，也不能認為它們是絕對安全的，依然要進行充分的審計。尤其是要弄清楚，這些代碼適用的前提條件和安全假設，以及具體到自己的應用場景中，這些代碼是否還滿足這些前提和假設。
在靈蹤安全審計代碼的過程中，對適用前提和安全假設都有嚴格的檢驗標準和審查流程，并不會因為項目代碼分叉自知名項目而忽略對這些安全事項的檢查。
關于靈蹤安全：
靈蹤安全科技有限公司是一家專注區塊鏈生態安全的公司。靈蹤安全科技主要通過“代碼風險檢測+邏輯風險檢測“的一體化綜合方案服務了諸多新興知名項目。公司成立于2021年01月，團隊由一支擁有豐富智能合約編程經驗及網絡安全經驗的團隊創建。
團隊成員參與發起并提交了以太坊領域的多項標準草案，包括ERC-1646、ERC-2569、ERC-2794，其中ERC-2569被以太坊團隊正式收入。
團隊參與了多項以太坊項目的發起及構建，包括區塊鏈平臺、DAO組織、鏈上數據存儲、去中心化交易所等項目，并參與了多個項目的安全審計工作，在此基礎上基于團隊豐富的經驗構建了完善的漏洞追蹤及安全防范系統。
作者：
靈蹤安全CEO譚粵飛
美國弗吉尼亞理工大學(VirginiaTech,Blacksburg,VA,USA)工業工程碩士(Master)。曾任美國硅谷半導體公司AIBTInc軟件工程師，負責底層控制系統的開發、設備制程的程序實現、算法的設計，并負責與臺積電的全面技術對接和交流。自2011至今，從事嵌入式，互聯網及區塊鏈技術的研究，深圳大學創業學院《區塊鏈概論》課程教師，中山大學區塊鏈與智能中心客座研究員，廣東省金融創新研究會常務理事?。個人擁有4項區塊鏈相關專利、3本出版著作。
Tags：KENTOKETOKTOKENUpTokenAltered State TokenSquare TokenFitR Metaverse Token
在9月3日央行發布的《中國金融穩定報告2021》中,在“防范化解重大金融風險攻堅戰的主要成果”中強調,互聯網資產管理、股權眾籌、互聯網保險、虛擬貨幣交易、互聯網外匯交易等領域整治工作基本完成.
1900/1/1 0:00:00以太坊鏈上活動持續走高,gas費達到3個月以來的最高水平,平均超過80gwei。這主要是由跨DEX的使用和對NFT的興趣驅動的鏈上活動驅動的,并且這場競爭OpenSea已經摘得桂冠,該公司已穩穩.
1900/1/1 0:00:00犯罪團伙緊盯有資金實力的投資者,設定“人設”、制定“話術”,由引流團隊帶入群,“資深講師”線上“秀實力”,“水軍”一旁鼓動,一旦受害人上鉤,便火力全開授課“洗腦”.
1900/1/1 0:00:00DeFi很火。 這里形色各異的淘金方式,有天馬行空的百倍投資,有特色十足的流動性Mining,有正常的投資行為,也有冒險家游戲的投機行為.
1900/1/1 0:00:00盡管面臨諸多爭議,薩爾瓦多政府還是堅持了之前的決定：將比特幣作為國家法幣。三個月前,薩爾瓦多國民議會以絕對多數投票通過了薩爾瓦多總統NayibBukele提交的比特幣法案.
1900/1/1 0:00:00大家好,我是佩佩,之前我們有提到過隨著opensea里的JPG—NFT炒作爆發,市場中也有一種聲音認為類似的潮流也會轉移到其他生態中,就像曾經的defi挖礦一樣,目前看來在以太之外的NFT市場.
1900/1/1 0:00:00
買比特幣
