BTC/HKD+0.29%
ETH/HKD+0.17%
LTC/HKD-0.67%
DOT/HKD+0.33%
ADA/HKD-0.24%
SOL/HKD+1.72%
XRP/HKD-0.44%
DOGE/US-0.24%前言
據鏈聞消息，DeFi項目YFValue發布公告稱，團隊于昨日在YFV質押池中發現一個漏洞，惡意參與者借此漏洞對質押中的YFV計時器單獨重置。目前已有一個惡意參與者正試圖借此勒索團隊。慢霧安全團隊對此進行了深入分析，以下是相關技術細節。
細節分析
分析了一大堆，回到我們最初的問題，惡意的用戶是怎么鎖定其他用戶的資產的呢？
回到用戶抵押的邏輯，可以發現抵押邏輯中的stakeOnBehalf函數本意是幫助進行抵押，但是這里有個問題，如果這個用戶先前已經有抵押了呢？那通過對已經抵押的用戶再次進行抵押，比方說抵押1個YFV，是不是就能以極低的成本重置已抵押的用戶的計時器，導致用戶在withdraw時無法成功調用。更進一步，假設YFV抵押用戶已經成功調用了stakeReward函數，在快要達到unfrozenStakeTime所規定的時間時，惡意的用戶可以通過stakeOnBehalf函數給這個用戶抵押少量資產，即可再次對抵押獎勵進行鎖定，理論上這樣往復循環，即可使用戶無法取出自己的資產，但這個問題并不會導致資金損失。攻擊流程如下：
前車之鑒
這是本月出現的第二個沒有經過審計的DeFi項目所暴露出的風險，根據YFValue的官方聲明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，項目代碼是由富有經驗的開發者進行開發的，同時借鑒了其他成功的項目的代碼，但是仍無可避免的出現了風險。術業有專攻，安全審計一方面需要項目方的正向思維，另一方面，還是需要專業的安全團隊的逆向思維，從專業的黑客角度進行模擬對抗，發現問題。
修復方案
通過分析代碼和漏洞細節，針對本次漏洞，修復方案也很簡單，只要在抵押的時候檢查用戶的抵押狀態是否為已經抵押，如果已經抵押，則不允許再次抵押。或者對每次的抵押進行單獨的處理，不能對先前的抵押狀態產生影響。
Tags：STAKSTASTAKEVALThunderstakestarl幣有可能漲1000倍嗎pSTAKE Staked ATOMAvalaunch
“創新基礎設施將重點支撐科學研究、技術開發和產品研制,具有鮮明的科技特征和科技導向,勢必將積極推動區塊鏈技術本身的發展,進一步提升其賦能水平。”新基建風口下,區塊鏈從業人員也迎來了正式“頭銜”.
1900/1/1 0:00:00近日,受四川暴雨天氣的影響,樂山、阿壩等地區汛情嚴重,部署在這些地區的礦場出現斷網、斷電、甚至斷水斷燃氣等情況,導致比特幣全網算力下跌至115.84EH/s,24小時跌幅高達11.59%.
1900/1/1 0:00:00重要要點： 瘋狂的流動性挖礦和高昂的代幣估價使得在識別頂級DeFi項目變得困難。CryptoBriefing創建了一個框架,該框架利用治理和代幣分發來衡量哪種協議去中心化程度最高.
1900/1/1 0:00:00本文來源：彩云區塊鏈,作者：irishash在過去的幾年中,用于保護比特幣網絡的SHA256算法的算力已經大幅增長,比特幣的全網算力已在2020年達到歷史新高.
1900/1/1 0:00:00北京時間8月12日凌晨3時,DeFi項目YamFinance啟動。不過就在37個小時之后,Yam核心開發人員belmore在推特上稱,“對不起,我失敗了！”.
1900/1/1 0:00:00DeFi這趟列車呼嘯而來,之前對于DeFi還有“看不見,看不起,看不懂,跟不上”的聲音,現在很多的crypto社區都已經不再是圍觀的態度,紛紛想辦法參與其中.
1900/1/1 0:00:00
買以太坊
internal{</p>
<p> _totalSupply=_totalSupply</p>
<p> 可以看到這里只是簡單的把對應的token用transferFrom的方式轉入到合約中，沒有什么特別的邏輯點。到這里整個抵押流程就很清晰了，接下來是收益的過程。計算用戶收益的是stakeReward函數，領取收益的為withdraw函數，代碼分別如下：</p>
<p> 分析 | 2018年底比特幣很有可能漲超1萬美元:據CCN分析，通過數據，情緒/認知，及科技三方面來分析比特幣價格，技術成熟才能使價格呈現指數上漲，比特幣的小幅增長與價格回升不存在關系，區塊鏈技術被采用是因為接受起來越來越簡單，投資者情緒也是興奮的。2018年底比特幣升至1萬美元以上的可能性更大。[2018/7/14]</p>
<p> functionstakeReward()publicupdateReward(msg</p>
<p> 通過分析計算收益和領取收益的代碼，發現邏輯也很簡單，stake函數首先是通過updateReward修飾器更新了用戶的獎勵，然后使用getReward函數計算了用戶的獎勵，并把抵押時間設置成當前區塊時間。最后，用戶在提取獎勵的時候，withdraw函數會首先計算當前的區塊時間，再與unfrozenStakeTime函數中計算出的時間進行對比，只有當前區塊時間大于unfrozenStakeTime計算出的時間，才允許提現。unfrozenStakeTime的代碼如下：</p>
<p> 金色財經獨家分析 區塊鏈落地到家電領域仍需時日:金色財經獨家分析，近日國內知名家電企業表示將利用區塊鏈等技術打造智慧家庭。區塊鏈自2017年年末以來就成為了風口，各行各業都在努力植入區塊鏈概念，但從實際上看，大多停留在概念層面。包括家電企業在內的很多科技企業都有個通病，就是一旦出現了一些新的技術概念，都喜歡第一時間蜂擁而上，喜歡用新的概念來包裝產品、刺激市場。但是過早的概念炒作于用戶而言毫無價值，區塊鏈真正成熟落地到應用場景中，仍然需要技術的不斷完善。[2018/5/7]</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> 金色財經獨家分析 區塊鏈的出路在于平衡“去中心化”與“價值創造”:瑞波幣的“中心化”之爭總是熱議話題，近日兩則消息分別反映了瑞波幣的被diss與反diss的日常。在世界最大的虛擬貨幣論壇BitcoinTalk上有一名叫leopard2的用戶寫到瑞波幣（XRP）并不是加密貨幣，爭論主要集中在瑞波幣并不是去中心化的、瑞波和瑞波幣的關系很模糊、銀行沒理由采用瑞波幣三個主要方面；而在4月9日，瑞波幣創始人ChrisLarsen則將重點放在和價值創造上，他說，目前全世界在區塊鏈方面的噪音都非常多，其中90%都是廢料，未來將面臨整合，但是基礎的變革也在發生，其中最重要的是價值互聯。資產和貨幣的價值的轉移會像此前20年的數據轉移一樣快速，對世界產生顛覆性的影響力。 </p>
<p> 那么區塊鏈的發展，“去中心化”、“價值創造”哪個才是根本呢？金色財經認為，缺少任何一個，區塊鏈都將沒有價值。市值最高的比特幣也因為交易的實用性欠缺為改善其創造價值的功用而被分叉。各種幣也一再解決實際交易的問題，真正實現“沒有中間方賺差價”的快速穩定交易，試圖改變整個生產關系。但總體來講，如今去中心化跟價值創造似乎很難以平衡，過于分散能夠實現“民主”卻在算力上和激勵機制上很成問題。區塊鏈的未來，在于實現一個人人可以看到的民主，同時確保其創造價值的效率。[2018/4/11]</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 從代碼中得知，unfrozenStakeTime是使用用戶的上次抵押時間加上FROZEN_STAKING_TIME常量得出鎖定時間，只要超過時間，就能通過withdraw函數提現收益。整個抵押和領取收益的簡化流程如下：</p>
<p> <img alt=)