慢霧安全工程師：安全審計是目前保護 DeFi 項目安全最高性價比的方式_COS

12月30日，在慢霧科技主辦的「HackingTime區塊鏈安全攻防峰會」上，慢霧科技高級安全工程師yudan和Kong根據bZx最早期的兩次閃電貸攻擊案例，介紹了閃電貸基本的攻擊形式——代幣價格操縱，詳細講述了基于價格操縱的閃電貸的防御方案以及在其價格無法被操縱的情況下，如何利用閃電貸另辟蹊徑，通過操縱LPToken的單價來進行獲利。并通過慢霧被黑檔案庫與大家一起回顧了2020DeFi被黑事件。

慢霧安全預警：Nacos出現遠程代碼執行漏洞攻擊案例，請相關方及時升級:金色財經報道，據慢霧區消息，Nacos 出現遠程代碼執行漏洞攻擊案例。Nacos 是 Alibaba 開源的一個更易于構建云原生應用的動態服務發現、配置管理和服務管理平臺，幫助用戶快速實現動態服務發現、服務配置、服務元數據及流量管理。Nacos 在處理某些基于 Jraft 的請求時，采用 Hessian 進行反序列化，但并未設置限制，導致應用存在遠程代碼執行（RCE）漏洞。其中，1.4.1 <= Nacos < 1.4.6，使用 cluster 集群模式運行受影響；1.4.0、2.0.0 <= Nacos < 2.2.3，任意模式啟動均受到影響。加密貨幣行業有大量平臺采用此方案，請注意風險，并將 Nacos 升級到官方最新新版本。[2023/6/9 21:25:29]

yudan和Kong認為，「DeFi安全形勢嚴峻，安全審計是目前保護項目安全最高性價比的方式。在當下DeFi黑暗森林里我們在臨淵而行，需如履薄冰。」

慢霧安全工程師：安全審計是目前保護DeFi項目安全最高性價比的方式:12月30日，在慢霧科技主辦的Hacking Time區塊鏈安全攻防峰會上，慢霧科技高級安全工程師yudan和Kong根據bZx最早期的兩次閃電貸攻擊案例，介紹了閃電貸基本的攻擊形式——代幣價格操縱，詳細講述了基于價格操縱的閃電貸的防御方案以及在其價格無法被操縱的情況下，如何利用閃電貸另辟蹊徑，通過操縱 LP Token的單價來進行獲利。并通過慢霧被黑檔案庫與大家一起回顧了2020 DeFi被黑事件。

yudan和Kong認為，DeFi安全形勢嚴峻，安全審計是目前保護項目安全最高性價比的方式。在當下DeFi黑暗森林里我們在臨淵而行，需如履薄冰。[2020/12/30 16:04:29]

本文來源于非小號媒體平臺：

分析 | 慢霧安全團隊提醒｜EOS假賬號安全風險預警:根據IMEOS報道，EOS 假賬號安全風險預警，慢霧安全團隊提醒：

如果 EOS 錢包開發者沒對節點確認進行嚴格判斷，比如應該至少判斷 15 個確認節點才能告訴用戶賬號創建成功，那么就可能出現假賬號攻擊。

攻擊示意如下：

1. 用戶使用某款 EOS 錢包注冊賬號（比如 aaaabbbbcccc），錢包提示注冊成功，但由于判斷不嚴格，這個賬號本質是還沒注冊成功

2. 用戶立即拿這個賬號去某交易所做提現操作

3. 如果這個過程任意環節作惡，都可能再搶注 aaaabbbbcccc 這個賬號，導致用戶提現到一個已經不是自己賬號的賬號里

防御建議：輪詢節點，返回不可逆區塊信息再提示成功，具體技術過程如下：

1. push_transaction 后會得到 trx_id

2. 請求接口 POST /v1/history/get_transaction

3. 返回參數中 block_num 小于等于 last_irreversible_block 即為不可逆[2018/7/16]

慢霧科技

現已在非小號資訊平臺發布68篇作品，

非小號開放平臺歡迎幣圈作者入駐

入駐指南：

/apply_guide/

本文網址：

/news/9566201.html

免責聲明：

1.資訊內容不構成投資建議，投資者應獨立決策并自行承擔風險

2.本文版權歸屬原作所有，僅代表作者本人觀點，不代表非小號的觀點或立場

上一篇：

幣安為何推出第三條鏈？這對BNB意味著什么？

Tags：COSACONAC非小號Receive Access EcosystemDemetracoinNACHO幣以太經典幣今日價格行情非小號

MANA