BTC/HKD-0.13%
ETH/HKD+0.12%
LTC/HKD+0.05%
DOT/HKD+0.38%
ADA/HKD+0.44%
SOL/HKD+0.33%
XRP/HKD+0.23%
DOGE/US+0.34%前言
據鏈聞消息，DeFi項目YFValue發布公告稱，團隊于昨日在YFV質押池中發現一個漏洞，惡意參與者借此漏洞對質押中的YFV計時器單獨重置。目前已有一個惡意參與者正試圖借此勒索團隊。慢霧安全團隊對此進行了深入分析，以下是相關技術細節。
細節分析
分析了一大堆，回到我們最初的問題，惡意的用戶是怎么鎖定其他用戶的資產的呢？
回到用戶抵押的邏輯，可以發現抵押邏輯中的stakeOnBehalf函數本意是幫助進行抵押，但是這里有個問題，如果這個用戶先前已經有抵押了呢？那通過對已經抵押的用戶再次進行抵押，比方說抵押1個YFV，是不是就能以極低的成本重置已抵押的用戶的計時器，導致用戶在withdraw時無法成功調用。更進一步，假設YFV抵押用戶已經成功調用了stakeReward函數，在快要達到unfrozenStakeTime所規定的時間時，惡意的用戶可以通過stakeOnBehalf函數給這個用戶抵押少量資產，即可再次對抵押獎勵進行鎖定，理論上這樣往復循環，即可使用戶無法取出自己的資產，但這個問題并不會導致資金損失。攻擊流程如下：
前車之鑒
這是本月出現的第二個沒有經過審計的DeFi項目所暴露出的風險，根據YFValue的官方聲明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，項目代碼是由富有經驗的開發者進行開發的，同時借鑒了其他成功的項目的代碼，但是仍無可避免的出現了風險。術業有專攻，安全審計一方面需要項目方的正向思維，另一方面，還是需要專業的安全團隊的逆向思維，從專業的黑客角度進行模擬對抗，發現問題。
修復方案
通過分析代碼和漏洞細節，針對本次漏洞，修復方案也很簡單，只要在抵押的時候檢查用戶的抵押狀態是否為已經抵押，如果已經抵押，則不允許再次抵押。或者對每次的抵押進行單獨的處理，不能對先前的抵押狀態產生影響。
隨著BSN官方培訓的有序開展,BSN團隊攜手聯盟成員單位、合作伙伴單位、合格開發者、以及開發者大賽獲獎者等,秉承互聯網精神,將自己的技術成果、應用方案、經驗心得等與大家無私分享.
1900/1/1 0:00:00目錄： 行情概覽 加密貨幣市場 DeFi生態 行業聲音 區塊鏈產業賦能 行業軼事 行情概覽? 根據CoinGecko數據,截至2020年8月21日17時,加密貨幣市場總市值3801億美元.
1900/1/1 0:00:00從以太坊圖靈不完備談起。 萬物皆計算 最近DeFi大熱,可稱現象級,很多人從經濟學和互聯網應用?度談了不少,本文中我試著提供一種基于計算理論的不同解釋。以太坊作為第二代公鏈代表項目.
1900/1/1 0:00:00轉自： 新浪財經意見領袖 作者：李峰、胡浩 2020年4月,央行數字貨幣在工、農、中、建四大行內測的消息在網絡上不脛而走.
1900/1/1 0:00:00本文來自?Decrypt,原文作者：AlexanderBehrensOdaily星球日報譯者|念銀思唐 摘要： -Aave總鎖倉量在8月份增長了170%.
1900/1/1 0:00:00首先聲明,李笑來先生的今天發的微博內容有很獨到的見解,也有認知的偏差。不管從哪個方面來說,如果能理解這個微博的全部內容并且能提出不同的觀點,將會大大增進我們對DeFid的洞察力.
1900/1/1 0:00:00
比特幣價格
internal{</p>
<p> 分析 | BTC和ETH相關系數不一定是衡量牛市或熊市的指標:金色財經報道，Skew的數據顯示，在過去兩年中，BTC和ETH一直保持著近90％的相關百分比。然而，這種相關性并不總是指向具體的因果關系。根據Coinmetrics.io的數據，截至發稿時，BTC和ETH的相關系數為0.7869。在9月份的兩周里，比特幣經歷了一段停滯期，價格差在200美元到400美元之間波動。與此同時，以太坊實現了約13%的增長，并突破了關鍵阻力位。因此，相關系數并不是一個確定的衡量牛市或熊市的指標。相反，它強調了在某些牛市中可能出現的情況或場景。根據Coinpredictor.com的說法，BTC和ETH在技術上沒有任何關系，其中一個的價格上漲直接或間接地影響了另一個。[2019/11/5]</p>
<p> _totalSupply=_totalSupply</p>
<p> 分析 | BTC新增流量突破近兩月底部，人氣連續3日回升:據TokenInsight數據顯示，反映區塊鏈行業整體表現的TI指數北京時間09月12日8時報726.56點，較昨日同期上漲0.73點，漲幅為0.1%。此外，在TokenInsight密切關注的25個細分行業中，24小時內漲幅最高的為特殊支付行業，漲幅為0.81%；24小時內跌幅最高的為人工智能行業，跌幅為3.59%。 </p>
<p> 據監測顯示，BTC 24h交易額為$150億，活躍地址數較前日下降0.44%，轉賬數較前日上升2.68%。BCtrend分析師Jeffrey認為，BTC新增流量突破近兩月底部，人氣連續3日回升，短期或將上行。 </p>
<p> 另據Bituniverse智能AI量化分析，今日行情可開啟EOS/USDT網格交易，區間2.42-4.63USDT，高拋低吸，賺取收益。 </p>
<p> 注：以上內容僅供參考，不構成投資建議。[2019/9/12]</p>
<p> 可以看到這里只是簡單的把對應的token用transferFrom的方式轉入到合約中，沒有什么特別的邏輯點。到這里整個抵押流程就很清晰了，接下來是收益的過程。計算用戶收益的是stakeReward函數，領取收益的為withdraw函數，代碼分別如下：</p>
<p> 分析 | Gartner：區塊鏈技術吸引力正在減弱 或在未來10年達到成熟:據coindesk報道，研究機構Gartner最新發布的“新興技術發展周期”報告顯示，區塊鏈技術的吸引力正在減弱。該研究機構將區塊鏈及其他四種新興技術列為可能模糊人與機器界限的五大趨勢之一。區塊鏈技術處于“幻滅的低谷”，這意味著對于該技術的興趣隨著實驗和實施的失敗而消失。只有幸存的供應商改進其產品以滿足早期采用者的需求，投資才會繼續。但Gartner仍預計該技術可能在未來10年內達到“生產力的平穩期”。Gartner副總裁Mike Walker在新聞發布會上表示，“數字化生態系統技術正快速進入炒作周期，區塊鏈和物聯網平臺已經跨越了巔峰，我們相信它們將在未來五到十年內達到成熟。”[2018/8/21]</p>
<p> functionstakeReward()publicupdateReward(msg</p>
<p> 通過分析計算收益和領取收益的代碼，發現邏輯也很簡單，stake函數首先是通過updateReward修飾器更新了用戶的獎勵，然后使用getReward函數計算了用戶的獎勵，并把抵押時間設置成當前區塊時間。最后，用戶在提取獎勵的時候，withdraw函數會首先計算當前的區塊時間，再與unfrozenStakeTime函數中計算出的時間進行對比，只有當前區塊時間大于unfrozenStakeTime計算出的時間，才允許提現。unfrozenStakeTime的代碼如下：</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 從代碼中得知，unfrozenStakeTime是使用用戶的上次抵押時間加上FROZEN_STAKING_TIME常量得出鎖定時間，只要超過時間，就能通過withdraw函數提現收益。整個抵押和領取收益的簡化流程如下：</p>
<p> <img alt=)