BTC/HKD-0.16%
ETH/HKD+0.3%
LTC/HKD+2.82%
DOT/HKD+0.98%
ADA/HKD+0.44%
SOL/HKD+1.86%
XRP/HKD+0.52%
DOGE/US+0.38%北京時間7月28日，收益聚合器PolyYeld.Finance遭到攻擊，其代幣YELD歸零，攻擊者獲利25萬美元。
SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。
一、事件分析
攻擊者地址：
0x56ec01726b15b83c25e8c1db465c3b7f1d094756
0x1bdf24cb4c7395bf6260ebb7788c1cbf127e14c7
Clearpool將DeFi借貸市場擴展到Polygon zkEVM:金色財經報道，去中心化借貸市場Clearpool已經擴展到Polygon zkEVM。此次擴展旨在為用戶提供高速交易、增加資金多樣化和更高的資本效率。Clearpool還與去中心化收益自動化協議Idle合作，在zkEVM池之上構建DeFi基元，以提供不同的風險回報配置文件。[2023/7/31 16:09:09]
從交易詳情可以看出攻擊者獲取的獎勵費用異常。
lpSupply值被操縱為1，導致1300行計算錯誤。
zkSync將遷移其位于Ropsten和Rinkeby上的v1測試網至Go?rli和Sepolia:7月12日消息，以太坊Layer 2擴容解決方案zkSync宣布將于8月2日遷移其位于Ropsten和Rinkeby上的v1測試網至Go?rli和Sepolia，以盡量減少由于合并而導致的網絡故障風險。開發者需在Go?rli或Sepolia上重新部署測試環境。[2022/7/12 2:08:08]
根本原因在于當前合約的LPToken的余額不是所有用戶質押的LPTokn總額，其中還包含攻擊者向當前合約轉入的LP?Token金額，這導致了lpSuppy被操縱為1的情況，造成了錯誤的判斷和計算。
詳細函數分析
攻擊者事先給16號池轉入1LPToken
攻擊者合約0x56ec01726b15b83c25e8c1db465c3b7f1d094756調用balanceOf函數查詢lpSupply的值為1
Polygon BridgesTVL超20億美元:金色財經報道，DuneAnalytics數據顯示，以太坊橋當前TVL達到117.7億美元。其中鎖倉量最高的5個橋分別是Polygon Bridges（41.12億美元）、Arbitrum Bridges（24.23億美元）、Avalanche Bridge（21.14億美元）、Fantom Anyswap Bridge（10.43億美元）、Near Raibow（8.81億美元）。[2022/5/30 3:49:50]
調用updatePool函數
Polychain Capital CEO：DAO是風險資本的未來:Polychain Capital的首席執行官兼創始人Olaf Carlson-Wee表示，DAO是風險資本的未來。DAO即將成為僅次于數字現金的區塊鏈領域的第二個重大突破。（Decrypt）[2021/5/8 21:39:12]
調用balanceOf函數查詢lpSupply的值
此時由于lpSupply的值為1，判斷條件不符，繼續執行函數代碼
調用getMultiplier函數獲取差值
P2P Validator和Web3基金會合作構建Polkadot和Filecoin連接方案:9月7日，非托管質押網絡P2P Validator官方宣布，將通過與Web3基金會和Protocol Labs合作，創建具有統一API的ETL解決方案，以此來建立連接Polkadot和Filecoin生態系統的工作。據悉，ETL為數據倉庫技術常見術語，即將數據從來源端經過抽取（extract）、轉換（transform）、加載（load）至目的端的過程。[2020/9/8]
YeldPerBlock值為10000000000000000，allocPoint值為2000，totalAllocPoint值為29000。但下一步中將計算獎勵的百分之十鑄幣給項目方，并未從給用戶的獎勵中扣除，這將導致通脹。
將鑄造給項目方和當前合約地址的Token數量添加到totalSupply
此時YeldReward值為25517241379310344，乘上1e18，再除lpSupply的值1。
執行結束后，accYeldPerShare的值為25517241379310346060896017401670445
返回user.amount的值為249792662487644753291986140279580
計算完成后調用withdraw提取獎勵，函數內調用payReferralCommission函數鑄造通過上面計算得到的token數量。
事件分析總結，該項目存在多個問題：
項目方收取百分之十的收益時直接鑄幣并未從用戶收益中扣除，導致通脹。
調用Masterchef合約實現推薦機制，即推薦者永久享受被推薦者收益的百分之二，但這百分之二并未從被推薦者收益中扣除。
正常情況下，合約計算收益的邏輯沒有錯誤，lpSupply應該為合約中的總Token數，但攻擊者通過操作，使得lpSupply為1，手動執行一次updatePool函數，使其計算出來的參數錯誤，再使用另外一攻擊合約的地址正常質押提取，使得推薦者獲得超出其本身應該獲得的收益。
Tags：POLSUPUPPLPSPolkaWarsuperenergyDynamic Supply TrackerCLPS價格
據Cointelegraph9月8日報道,繼薩爾瓦多在周二歷史性地采用比特幣作為法定貨幣之后,Cardano創始人CharlesHoskinson預測.
1900/1/1 0:00:00據路透社消息,9月29日,波士頓聯邦儲備銀行的高級副總裁JimCunha在一個聚焦支付的線上活動中表示,波士頓聯儲與麻省理工就可用于數字美元的技術進行的一項多年研究的第一階段接近完成.
1900/1/1 0:00:00概述 隱私、可擴展性和安全性是當下的主要問題。盡管比特幣是世界上最流行的加密貨幣,但它仍然需要解決這些問題。Taproot也應運而生.
1900/1/1 0:00:00巴比特訊,Dappradar數據顯示,近30天的登陸用戶數排行榜,前三大NFT交易平臺分別是OpenSea、AtomicMarket,后兩者分別是公鏈WAX和BSC.
1900/1/1 0:00:00巴比特訊,9月23日,互聯網企業第九城市、以太坊擴展和基礎設施開發平臺Polygon,以及分布式存儲協議IPFS和Filecoin的開發及運營商ProtocolLabs聯合宣布.
1900/1/1 0:00:00全球最大的電影連鎖企業AMC近日表示,計劃在今年年底前接受包括比特幣、以太坊、萊特幣和比特幣現金在內的一系列加密貨幣購買電影票.
1900/1/1 0:00:00
買以太坊
