BTC/USD+0.93%
ETH/USD+0.64%
LTC/USD+0.11%
DOT/USD+0.71%
ADA/USD+0.63%
SOL/USD+2.66%
XRP/USD+1.45%
DOGE/US+4.06%El 29 de septiembre, hora de Beijing, el equipo de investigación de seguridad de CertiK descubrió transacciones anormales en Eminence.finance, un nuevo proyecto de Yearn.finance. Se transfirieron tres fondos con un valor total de aproximadamente 109 millones de RMB del contrato inteligente de Eminence en la dirección: 0x5ade7ae8660293f2ebfcefaba91d141d72d221e8. El equipo de investigación de seguridad de CertiK cree que el incidente es que el atacante usó un programa de script para pedir prestados fondos iniciales a través de flashloan y usó el modelo Bonding Curve en el proyecto Eminence para comprar y vender repetidamente EMN y eAAVE para obtener ingresos.
El siguiente análisis se basa en:
Tome https://etherscan.io/tx/0x3503253131644dd9f52802d071de74e456570374d586ddd640159cf6fb9b8ad8 como ejemplo, el diagrama de flujo de la transacción es el siguiente:
Primer lanzamiento | imKey admite oficialmente Filecoin, convirtiéndose en el primer lote de billeteras de hardware de Filecoin: el 1 de diciembre, con el lanzamiento de imToken 2.7.2, imKey admite Filecoin simultáneamente, convirtiéndose en el primer lote de billeteras de hardware en la industria en admitir oficialmente FIL. Como uno de los proyectos prioritarios respaldados por la cadena múltiple de imKey, Filecoin se ha convertido en la quinta cadena pública después de las cuatro cadenas públicas de BTC, ETH, EOS y COSMOS.
Se informa que el equipo de imKey lanzó por completo el plan de soporte de cadenas múltiples en el cuarto trimestre, planeando implementar todos los proyectos de cadenas públicas que imToken ha respaldado. Esta actualización de actualización de imKey no necesita reemplazar el hardware, no implica actualizaciones de firmware y puede actualizarse automáticamente a través de la aplicación (Applet) Darse cuenta del soporte de imKey para Filecoin y la gestión de tokens de FIL. [2020/12/2 22:52:32]
Primer lanzamiento | Bithumb lanzará un servicio de transferencia de activos encriptados con Bithumb Global: los expertos de Bithumb revelaron a Jinse Finance que Bithumb lanzará un servicio de transferencia rápida de activos en moneda encriptada entre Bithumb y Bithumb Global sin cargos por manejo. El límite diario de transferencia de activos encriptados es de 2 BTC . La noticia se dará a conocer al público esta noche. Se informa que actualmente solo se admiten transferencias de activos BTC y ETH. [2020/2/26]
En esta transacción, el atacante primero tomó prestados 15 millones de DAI a través del servicio Flash Loan en Uniswap y luego compró todos los tokens EMN, comprando un total de aproximadamente 1,383,650,487 tokens EMN.
La mitad de la EMN, un total de aproximadamente 691 825 243 tokens EMN, se utilizó para comprar tokens eAAVE a través del paso OP0, y se obtuvo un total de aproximadamente 572 431 tokens eAAVE.
Hasta la fecha, el atacante posee un total de 1 383 650 487-691 825 243 = 691 825 244 tokens EMN y 572 431 eAAVE.
El debut de IMEOS, EOS Go, anuncia dos nuevas condiciones de registro: Según el informe de IMEOS, socio de Jinse Finance: Hoy, EOS Go anunció dos nuevas condiciones de registro en Steemit:
1. Plan para garantizar la seguridad: si el nodo candidato publica un artículo en Steemit para presentar el método y el plan de seguridad del nodo. El estándar del "método de seguridad" es una oportunidad para mostrar a los votantes de EOS el conocimiento de las mejores prácticas de seguridad y el plan de implementación de la organización;
2. Posición: describa la posición del nodo para compartir recompensas por inflación y/o distribuir dividendos a los titulares de tokens EOS (los nodos candidatos se publican en Steemit). Se desarrollan principalmente los siguientes dos temas:
¿La organización proporcionará pagos a los votantes de tokens de EOS por algún motivo, incluidas las elecciones de BP y el asesoramiento de la comunidad?
¿Tiene la organización una política escrita de no pago de entradas? Si es así, proporcione un enlace. [2018/4/27]
A continuación, el script del atacante continuó ejecutando 5 transacciones internas (Transacciones internas), incluidas OP0, OP1, OP2, OP3 y OP4. El impacto de estas 5 transacciones internas es el siguiente:
El primer BM de IMEOS dijo que los contratos EOS tienen protección contra desbordamiento de enteros: según IMEOS, un medio cooperativo de Jinse Finance, recientemente ETH experimentó múltiples errores de desbordamiento de procesamiento de contratos inteligentes ERC20, y BM comentó en Twitter: El nuevo error del contrato ETH puede destruir todo Token El suministro de tokens permite a los titulares dejar Token sin valor, es por eso que el código no puede convertirse en ley, y significa inmediatamente que el contrato EOS erc no es vulnerable a este ataque. Algunas personas en el grupo oficial de EOS también expresaron su preocupación sobre si EOS tiene protección contra desbordamiento de enteros. Respuesta de BM: hay muchas clases de plantilla de C++ que encapsulan tipos y verifican el desbordamiento. [2018/4/25]
El monto total de DAI vendido de OP4 fue de 16 673 637, casi 1,7 millones más que el monto total de DAI prestado por el atacante a través de préstamos rápidos de 15 millones. El motivo de los resultados anteriores es: en el proceso de OP0 usando EMN para comprar eAAVE, se llamó a la función de reclamo en la línea 231 del contrato inteligente EminenceCurrency.sol, y luego la función _burn en la línea 233 quemó los 691,825,243 EMN usados para el transacción:
Sin embargo, en la definición de la función _burn en la figura a continuación, podemos ver que solo se quema la cantidad de tokens EMN, mientras que la cantidad correspondiente de DAI no ha cambiado. Esto crea un problema: la proporción de EMN a DAI reduce el precio relativo de DAI debido a la reducción en el número de EMN, por lo tanto, si usa la misma cantidad de EMN para comprar DAI, puede obtener más DAI.
Por lo tanto, cuando se completa OP0, la relación entre el número de EMN y el número de DAI disminuye. El atacante convierte el EMN general restante en DAI a través de OP1. Dado que el precio relativo de DAI es bajo en este momento, la cantidad de DAI comprada es más de lo normal.
Después de completar OP1, el atacante convierte el eAAVE retenido en EMN a través de OP2 y OP3, y luego lo convierte en DAI. Finalmente, antes de OP4, la cantidad de DAI en poder del atacante será mayor que la cantidad prestada de Uniswap.
Hasta el momento, el atacante ha obtenido beneficios a través de la vulnerabilidad.
El atacante explotó la vulnerabilidad tres veces en la misma transacción. Cada vez que se alcanza OP4, el DAI total después de la ganancia se utilizará nuevamente para realizar ataques. Después de completar las tres veces, el atacante pagó el préstamo de Uniswap y envió la ganancia de la transacción a su dirección:
0x223034edbe95823c1160c16f26e3000315171ca9
El atacante ejecutó un total de 3 transacciones y la dirección de la transacción es la siguiente:
Primera vez:
Segunda vez:
0x045b60411af18114f1986957a41296ba2a97ccff75a9b38af818800ea9da0b2a
Tercera vez:
0x4f0f495dbcb58b452f268b9149a418524e43b13b55e780673c10b3b755340317
Este incidente es un caso típico de una brecha de seguridad causada por la inconsistencia entre el diseño lógico y la implementación real del código del contrato inteligente. Y antes de que el proyecto entre en línea, aún no ha pasado la auditoría de seguridad. Para este tipo de vulnerabilidad, los métodos y herramientas de prueba tradicionales no pueden detectar este tipo de vulnerabilidad lógica.
Por ello, CertiK propone lo siguiente:
El auge actual de los proyectos DeFi continúa sin cesar. Con el fin de aprovechar los puntos calientes y las oportunidades, muchos proyectos se han lanzado en línea sin pruebas ni auditorías rigurosas. En estos proyectos, la mayoría de las vulnerabilidades no se pueden encontrar mediante métodos y herramientas de prueba comunes. Esta vulnerabilidad solo se puede descubrir buscando expertos en auditoría profesionales que realicen pruebas rigurosas de modelos matemáticos.
Las auditorías de seguridad ahora son estándar para proyectos DeFi de alta calidad. Si el proyecto no ha sido auditado, para los usuarios, el comportamiento de inversión debe ser extremadamente cauteloso; para la parte del proyecto, es necesario encontrar una empresa auditora profesional y de buena reputación para auditar. Si el proyecto ha sido auditado, es necesario tratar de comprender los antecedentes de la empresa auditora y los indicadores en su informe de auditoría, incluidos, entre otros:
Alcance, método y conclusión de la auditoría de seguridad
¿Existen lagunas o riesgos de seguridad en el contrato? Si es así, es necesario comprender la gravedad de estos problemas y su posible impacto.
Código de calidad del contrato en su conjunto
Profesionalidad e independencia de la firma auditora
Tags：
Resumen: Los ataques al servidor de tiempo en Eth2 también se han discutido anteriormente. Pero hasta ahora.
En los últimos años, a medida que la tecnología de cadena de bloques se ha vuelto más madura, se ha prestado cada vez más atención a los riesgos que conlleva. En la actualidad.
Incluso en medio de la pandemia, los egipcios continúan recurriendo a bitcoin y otras criptomonedas para aumentar las ganancias. A medida que la pandemia de COVID-19 hunde la economía de Egipto en una recesión y exace.
El 29 de septiembre, hora de Beijing, el equipo de investigación de seguridad de CertiK descubrió transacciones anormales en Eminence.finance.
"En la actualidad, el renminbi digital ha logrado resultados iniciales y se está sometiendo a pruebas internas cerradas". El 24 de septiembre, Fan Yifei, vicegobernador del banco central.
Golden Finance Blockchain Noticias del 29 de septiembre Creo que todos conocen la casa de subastas de Christie's en Nueva York, las obras de arte creadas por los más grandes artistas de la historia, como Monet.
En la tarde del 11 de septiembre, JD Digits reveló oficialmente el prospecto de cotización y "blockchain" se mencionó casi 80 veces como palabra clave. Blockchain se ha convertido en una de las cuatro capacidades técn.
Intercambio de Ethereum
