BTC/HKD-1.55%
ETH/HKD-1.79%
LTC/HKD-1.42%
DOT/HKD-2.61%
ADA/HKD-2.23%
SOL/HKD-2.2%
XRP/HKD-3.48%
DOGE/US-2.4%前言
北京時間2022年2月5日晚，Meter.io 跨鏈協議遭到攻擊，損失約 430 萬美元。知道創宇區塊鏈安全實驗室 第一時間跟蹤本次事件并分析。
分析
基礎信息
tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
Meten Holding Group宣布將ChatGPT引入其在建的Web 3教育平臺:金色財經報道，區塊鏈技術公司Meten Holding Group宣布將ChatGPT引入其在建的 Web 3 教育平臺。依托并受益于ChatGPT，公司擬在建設中的Web3平臺上推出模擬真實人機交互的互動教學課程。公司相信，通過使用ChatGPT，公司與運行該平臺相關的運營成本將控制在合理水平，同時為客戶提供智能定制和個性化的課程，從而滿足客戶需求并提高客戶忠誠度。客戶反饋也有助于生成高質量的教育內容。所有這些組成部分都有望為創新的教育模式做出貢獻。[2023/2/9 11:55:47]
攻擊者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
MetaMask Institutional與Gnosis Safe達成合作:6月28日消息，MetaMask Institutional（MMI）宣布，通過與多簽錢包GnosisSafe達成合作，MMI擴展了其加密貨幣托管產品，以集成DAO的托管選項，并為DAO提供了更易于訪問DeFi生態系統的全新方式。DAO更青睞GnosisSafe，因為其多重簽名功能，為DAO部署資金提供了額外的安全性。據悉，MetaMask Institutional是MetaMask錢包的機構兼容版本，為加密基金、做市商、交易平臺和DAO提供機構所需的安全、合規、高效的DeFi和Web3服務。通過MMI的DeFi和Web3投資組合儀表板，DAO可以全面了解其投資組合，業績，單個資產以及歷史交易記錄。[2022/6/28 1:36:19]
Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001
Meta推出虛擬語音處理基礎設施XLS-R體驗版，解決元宇宙多語言問題:11月25日消息，Meta已推出AI語言處理模型XLS-R網頁體驗版，最高能辨識128種語言，旨在解決元宇宙中聽不懂外語問題。不過，該體驗版目前存在一定缺陷，僅支持將22種語言翻譯為16種語言，但優勢在于能將語音拆成拆成25毫秒的基本單元來分析并利用上下文轉換語音內容提升辨識準確度。Meta表示，雖然元宇宙離我們仍然有一段距離，但XLS-R等技術可以作為Meta虛擬世界的基礎建設之一。[2021/11/25 7:10:21]
ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51
漏洞原理
漏洞關鍵在于跨鏈橋合約的deposit函數中，deposit函數會根據resourceID取相應的depositHandler，并調用deposit函數進行實際的質押邏輯。
而在depositHandler的deposit函數中，存在邏輯缺陷，當tokenAddress不為_wtokenAddress地址時進行 ERC20 代幣的銷毀或鎖定，若為_wtokenAddress則直接跳過該部分處理。
該存在缺陷的邏輯判斷可能基于在跨鏈橋合約中的depositETH函數會將鏈平臺幣轉為wToken后轉至depositHandler地址，所以在depositHandler執行deposit邏輯時，已處理過代幣轉移，故跳過代幣處理邏輯。
但跨鏈橋合約的deposit函數中并沒有處理代幣轉移及校驗，在轉由deposiHandler執行deposit時，若data數據構造成滿足tokenAddress == _wtokenAddress即可繞過處理，實現空手套白狼。
總結
本次攻擊事件核心原因在于 Meter.io 跨鏈橋 depositHandler質押處理器中，存在邏輯判斷缺陷，滿足了跨鏈橋合約depositETH的邏輯場景，但忽視了deposit邏輯場景存在繞過缺陷。
近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。
現階段下載軟件的唯一選擇是從網站或應用程序商店,這引發了嚴重的安全問題。雖然微軟、蘋果、谷歌或 Github 看起來很安全,但實際上,任何中心化和依賴于 Web 2.0 的東西都存在固有的風險.
1900/1/1 0:00:00作者：北辰 如果不出意外的話,Polkadot的平行鏈插槽拍賣將于11月11日正式啟動,該提案正在投票中.
1900/1/1 0:00:00一、Bomb Crypto炸彈加密游戲介紹Bomb Crypto 游戲屬于 Play-To Earn 類型,您將在其中管理一組機器人炸彈英雄,這些英雄被編程為搜索 BCOIN 并與怪物戰斗.
1900/1/1 0:00:00Sumati刻畫了怎樣的一個GameFi生態？ 此前,Panews對2021年全年區塊鏈項目融資狀況進行年終總結,1205個項目披露投融資共305億美元,鏈游賽道最受關注.
1900/1/1 0:00:00GameFi 在幾個月前爆發后銷聲匿跡了不少,那些曾經的龍一龍二,Axie、CryptoMines 這些游戲在結束了人口紅利后就沉寂了,這也讓不少人不看好鏈游這條賽道.
1900/1/1 0:00:00第一節 研報要點 1.1.核心投資邏輯 Arweave團隊擁有優秀的商業洞察力,選擇了一個具有長期價值且目前競爭尚不激烈的細分云儲存市場——永久儲存,成為該市場里的唯一龍頭項目.
1900/1/1 0:00:00
比特幣交易所
