Force DAO 代幣增發漏洞簡析

據慢霧區消息，DeFi 量化對沖基金 Force DAO 項目的 FORCE 代幣被大量增發。經慢霧安全團隊分析發現： 在用戶進行 deposit 操縱時，Force DAO 會為用戶鑄造 xFORCE 代幣，并通過 FORCE 代幣合約的 transferFrom 函數將 FORCE 代幣轉入 ForceProfitSharing 合約中。但 FORCE 代幣合約的 transferFrom 函數使用了 if-else 邏輯來檢查用戶的授權額度，當用戶的授權額度不足時 transferFrom 函數返回 false，而 ForceProfitSharing 合約并未對其返回值進行檢查。導致了 deposit 的邏輯正常執行，xFORCE 代幣被順利鑄造給用戶，但由于 transferFrom 函數執行失敗 FORCE 代幣并未被真正充值進 ForceProfitSharing 合約中。最終造成 FORCE 代幣被非預期的大量鑄造的問題。 此漏洞發生的主要原因在于 FORCE 代幣的 transferFrom 函數使用了`假充值`寫法，但外部合約在對其進行調用時并未嚴格的判斷其返回值，最終導致這一慘劇的發生。慢霧安全團隊建議在對接此類寫法的代幣時使用 require 對其返回值進行檢查，以避免此問題的發生。

前BitGo、Curv高管推出新的加密錢包安全公司Fordefi:11月5日消息，前BitGo、Curv高管Josh Schwartz推出新的加密錢包安全公司Fordefi，Fordefi提供了一個允許機構參與各種鏈的錢包平臺。

Fordefi表示，使用安全的多方計算 (MPC) 以一種更難以妥協的方式分配用戶的私鑰，它將允許用戶自動化他們與區塊鏈和智能合約的互動。Fordefi的25人團隊位于以色列和紐約，其中包括Michael Volfman和Dima Kogan。該公司聘請了斯坦福大學的加密貨幣教授Dan Boneh和前Curv首席執行官Itay Malinger作為顧問。(The Block)[2022/11/5 12:18:25]

Flare for Linux將于下周推出測試版本:Flare for Linux將于下周推出Beta版，測試版是基于 Docker 的應用程序部署工具，將在“一周左右”內開放進行公開測試。（U.today）[2021/6/10 23:27:53]

動態 | Digital Asset獲得三星和Salesforce Ventures投資:金色財經報道，區塊鏈公司Digital Asset已在C輪融資的第二輪融資中獲得三星和Salesforce Ventures的投資。該公司表示，新的投資將用于進一步促進開源DAML智能合約在各個行業中的采用。此前，Digital Asset已于2019年12月在C輪融資中籌集了3500萬美元，新一輪融資使該公司的融資總額達到1.5億美元。[2020/2/5]