BTC/HKD+0.04%
ETH/HKD+0.89%
LTC/HKD+14.03%
DOT/HKD+19.59%
ADA/HKD+17.92%
SOL/HKD+1.1%
XRP/HKD+7.92%
DOGE/US+15.35%前言
據鏈聞消息，DeFi項目YFValue發布公告稱，團隊于昨日在YFV質押池中發現一個漏洞，惡意參與者借此漏洞對質押中的YFV計時器單獨重置。目前已有一個惡意參與者正試圖借此勒索團隊。慢霧安全團隊對此進行了深入分析，以下是相關技術細節。
細節分析
分析了一大堆，回到我們最初的問題，惡意的用戶是怎么鎖定其他用戶的資產的呢？
回到用戶抵押的邏輯，可以發現抵押邏輯中的stakeOnBehalf函數本意是幫助進行抵押，但是這里有個問題，如果這個用戶先前已經有抵押了呢？那通過對已經抵押的用戶再次進行抵押，比方說抵押1個YFV，是不是就能以極低的成本重置已抵押的用戶的計時器，導致用戶在withdraw時無法成功調用。更進一步，假設YFV抵押用戶已經成功調用了stakeReward函數，在快要達到unfrozenStakeTime所規定的時間時，惡意的用戶可以通過stakeOnBehalf函數給這個用戶抵押少量資產，即可再次對抵押獎勵進行鎖定，理論上這樣往復循環，即可使用戶無法取出自己的資產，但這個問題并不會導致資金損失。攻擊流程如下：
前車之鑒
這是本月出現的第二個沒有經過審計的DeFi項目所暴露出的風險，根據YFValue的官方聲明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，項目代碼是由富有經驗的開發者進行開發的，同時借鑒了其他成功的項目的代碼，但是仍無可避免的出現了風險。術業有專攻，安全審計一方面需要項目方的正向思維，另一方面，還是需要專業的安全團隊的逆向思維，從專業的黑客角度進行模擬對抗，發現問題。
修復方案
通過分析代碼和漏洞細節，針對本次漏洞，修復方案也很簡單，只要在抵押的時候檢查用戶的抵押狀態是否為已經抵押，如果已經抵押，則不允許再次抵押。或者對每次的抵押進行單獨的處理，不能對先前的抵押狀態產生影響。
Tags：STAKSTASTAKEVALpstake幣前景GamestapSTAKE Staked BNBHIVALHALLA
在前天波卡項目代幣DOT100倍拆分后,市場又掀起了一陣波卡熱。 看似價格下來了,卻是100倍拆分,只是看起來單價降了。其實價格還是漲的.
1900/1/1 0:00:00前言 目前Filecoin項目成為區塊鏈中最為追捧的明星項目,因為Filecoin項目是當前最具可落地價值的區塊鏈應用項目.
1900/1/1 0:00:008月22-23日,“2020全球區塊鏈算力大會暨新基建礦業峰會”在成都舉辦。會議由市新經濟委、市科技局、成華區政府指導,由成華區新經濟和科技局、成華區投促局、龍潭新經濟產業功能區管委會、巴比特、.
1900/1/1 0:00:00原題《OKExResearch：6大指標看懂真實的比特幣市場》作者：OKExResearch近日,據Glassnode統計報告顯示,比特幣的短期MVRV比率目前正支持牛市的說法.
1900/1/1 0:00:00作者：Quantstamp 翻譯：Olivia DeFi應用依舊積極推動金融的自動化和去中心化發展.
1900/1/1 0:00:00來源：區塊律動BlockBeats,作者：?0x66,原題《加密礦工的「驚險」八月》對于加密礦工來說,2020年既是革新的一年,又是魔幻的一年。雖同是礦工身份,但不同的礦工間的處境差距有點大.
1900/1/1 0:00:00
買比特幣
internal{</p>
<p> 分析 | 本輪BTC大跌中 大部分賣方的持倉時間不超過30天:鏈上市場信息分析公司Glassnode稱，在本周的比特幣大跌中，大部分賣方的持倉時間不超過30天。拋售并非來自長期持有者，而是短期持有者。（ZyCrypto）[2019/9/28]</p>
<p> _totalSupply=_totalSupply</p>
<p> 可以看到這里只是簡單的把對應的token用transferFrom的方式轉入到合約中，沒有什么特別的邏輯點。到這里整個抵押流程就很清晰了，接下來是收益的過程。計算用戶收益的是stakeReward函數，領取收益的為withdraw函數，代碼分別如下：</p>
<p> functionstakeReward()publicupdateReward(msg</p>
<p> 分析 | OKEx：XRP表現不佳是因為機構采用率低和Ripple面臨激烈競爭:據OKEx報告《為什么XRP表現不佳？》，支付解決方案提供商Ripple面臨激烈的競爭，并且對公司的任何負面影響都很容易在XRP中轉化為不受歡迎的價格走勢。 報告稱，來自大玩家的直接競爭或將Ripple置于劣勢地位。許多大公司希望進入機構資金轉移市場，可能會威脅Ripple的業務。美聯儲最近宣布一項計劃，旨在為銀行開發更快的支付系統，讓銀行能夠進行匯兌，從而實現賬單支付、工資支票以及其他業務轉賬的即時和全天候轉賬。Ripple已經有了R3和SWIFT這樣的競爭對手，隨著其他初創公司進入市場，競爭變得更加激烈。Facebook的LIbra和摩根大通的JPM Coin可能對Ripple的市場份額產生負面影響，也可能波及XRP。 雖然Ripple已有100多家金融機構在使用，但大多數不使用XRP作為媒介。“這意味著XRP的機構采用率仍然相對較低，這對XRP任何積極的價格走勢沒有幫助。”缺乏機構興趣是XRP必須解決的一個重要挑戰。需要看到“Ripple是否可以在未來的支付和交易解決方案服務中進一步利用XRP，并激發機構的興趣”。[2019/8/12]</p>
<p> 通過分析計算收益和領取收益的代碼，發現邏輯也很簡單，stake函數首先是通過updateReward修飾器更新了用戶的獎勵，然后使用getReward函數計算了用戶的獎勵，并把抵押時間設置成當前區塊時間。最后，用戶在提取獎勵的時候，withdraw函數會首先計算當前的區塊時間，再與unfrozenStakeTime函數中計算出的時間進行對比，只有當前區塊時間大于unfrozenStakeTime計算出的時間，才允許提現。unfrozenStakeTime的代碼如下：</p>
<p> 分析 | 金色盤面：BTC期貨合約持倉變化:金色盤面綜合分析： 據OKEX數據顯示，OKEX的BTC期貨合約持倉達到105884左右。做多賬戶57%，做空賬戶43%；主力多頭平均持倉比例為26.43%，主力空頭平均持倉比例為20.18%，經過清晨一輪暴跌后，做多主力賬戶一路加倉至57%，并在過去2小時保持倉位不變，短線做空動力不足，市場陷入僵持階段。截止發稿，OKEX現貨價格為6305美元，期貨合約當周BTC0824價格為6268美元，貼水近40點。[2018/8/21]</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 從代碼中得知，unfrozenStakeTime是使用用戶的上次抵押時間加上FROZEN_STAKING_TIME常量得出鎖定時間，只要超過時間，就能通過withdraw函數提現收益。整個抵押和領取收益的簡化流程如下：</p>
<p> <img alt=)