BTC/HKD-1.32%
ETH/HKD-1.6%
LTC/HKD-1.17%
DOT/HKD-2.48%
ADA/HKD-2.03%
SOL/HKD-1.92%
XRP/HKD-3.52%
DOGE/US-2.19%北京時間7月28日，收益聚合器PolyYeld.Finance遭到攻擊，其代幣YELD歸零，攻擊者獲利25萬美元。
SharkTeam第一時間對此事件進行了攻擊分析和技術分析，并總結了安全防范手段，希望后續的區塊鏈項目可以引以為戒，共筑區塊鏈行業的安全防線。
一、事件分析
攻擊者地址：
0x56ec01726b15b83c25e8c1db465c3b7f1d094756
0x1bdf24cb4c7395bf6260ebb7788c1cbf127e14c7
Polygon：預計未來MATIC將用于Polygon zkEVM中的質押和治理:金色財經報道，Polygon在其官方文檔更新Polygon zkEVM主網相關事項。文中指出Polygon zkEVM主網將不會發行單獨的Token，ETH將用于支付網絡gas費，預計未來MATIC將用于Polygon zkEVM中的質押和治理。此外，由于Polygon zkEVM通過ERC-4337支持帳戶抽象，這將允許用戶使用任何Token支付費用。[2023/3/30 13:35:00]
從交易詳情可以看出攻擊者獲取的獎勵費用異常。
lpSupply值被操縱為1，導致1300行計算錯誤。
Aave團隊Web3社交協議Lens上線Polygon網絡:5月18日消息，借貸協議Aave團隊開發的Web3社交協議Lens Protocol已在Polygon上線，Lens于2022年2月首次推出，目前其生態內已有50多個應用程序，其中包括Lenster、Lens Booster、SpamDAO、GoldenCircle、Peer Stream、Swapify、SocialLink等。
據了解，Lens是一個軟件堆棧，使開發人員能夠搭建分散內容和用戶帳戶所有權的社交網絡，協議使用加密地址和NFT進行身份驗證和貨幣化。此前報道，Aave的CEOStaniKulechov曾在今年4月因發布以臨時CEO身份加入推特的笑話而被推特禁封。[2022/5/18 3:25:59]
NFT社交平臺Showtime將在Polygon推出NFT市場:12月6日，據NFT社交平臺Showtime CEO Alex Masmej消息，Showtime將在Polygon上建立NFT市場，并將推出移動 APP。[2021/12/6 12:54:42]
根本原因在于當前合約的LPToken的余額不是所有用戶質押的LPTokn總額，其中還包含攻擊者向當前合約轉入的LP?Token金額，這導致了lpSuppy被操縱為1的情況，造成了錯誤的判斷和計算。
詳細函數分析
攻擊者事先給16號池轉入1LPToken
攻擊者合約0x56ec01726b15b83c25e8c1db465c3b7f1d094756調用balanceOf函數查詢lpSupply的值為1
區塊鏈游戲GEOPOLY通過代幣私募融資300萬美元:12月6日消息，區塊鏈游戲GEOPOLY通過代幣私募在48小時內籌集300萬美元。GEOPOLY已發布其網站和白皮書。該項目已開始社區建設，計劃于12月12日進行NFT預售。Beta V2發布將在2021年Q4和2022年Q1之間的某個時間進行。GEOPOLY代幣也將在該時間段內推出，用戶可以在游戲中使用。GEO代幣將使用戶能夠在網絡和鏈上以NFT的形式購買、升級和銷售業務。GEO代幣將于2022年1月在中心化交易所上線。
公開TGE（代幣生成活動）將于12月15日在SushiSwap上進行，對所有人開放。PvP（玩家對玩家）原型發布、拍賣和候選發布計劃于2022年進行。（Bitcoinist）[2021/12/6 12:54:14]
調用updatePool函數
PolkaFoundry推出IDO平臺Red Kite，支持BSC和ETH池:4月21日消息，PolkaFoundry推出IDO平臺Red Kite，首個IDO項目將于5月上旬啟動。據介紹，Red Kite支持BSC和ETH池，在經過PolkaFoundry測試網的嚴格測試后，很快將支持Polkadot池。此外，Red Kite還將支持Polkadot和Kusama上平行鏈拍賣的眾貸。[2021/4/21 20:44:10]
調用balanceOf函數查詢lpSupply的值
此時由于lpSupply的值為1，判斷條件不符，繼續執行函數代碼
調用getMultiplier函數獲取差值
YeldPerBlock值為10000000000000000，allocPoint值為2000，totalAllocPoint值為29000。但下一步中將計算獎勵的百分之十鑄幣給項目方，并未從給用戶的獎勵中扣除，這將導致通脹。
將鑄造給項目方和當前合約地址的Token數量添加到totalSupply
此時YeldReward值為25517241379310344，乘上1e18，再除lpSupply的值1。
執行結束后，accYeldPerShare的值為25517241379310346060896017401670445
返回user.amount的值為249792662487644753291986140279580
計算完成后調用withdraw提取獎勵，函數內調用payReferralCommission函數鑄造通過上面計算得到的token數量。
事件分析總結，該項目存在多個問題：
項目方收取百分之十的收益時直接鑄幣并未從用戶收益中扣除，導致通脹。
調用Masterchef合約實現推薦機制，即推薦者永久享受被推薦者收益的百分之二，但這百分之二并未從被推薦者收益中扣除。
正常情況下，合約計算收益的邏輯沒有錯誤，lpSupply應該為合約中的總Token數，但攻擊者通過操作，使得lpSupply為1，手動執行一次updatePool函數，使其計算出來的參數錯誤，再使用另外一攻擊合約的地址正常質押提取，使得推薦者獲得超出其本身應該獲得的收益。
Tags：POLPOLYOLYPolygonpolkawallet.ioWEXPOLY幣polydoge幣未來潛力怎么樣達普幣能存polygon錢包
據TheBlock9月14日報道,鏈上數據分析初創公司Amberdata宣布完成1500萬美元A輪融資.
1900/1/1 0:00:00最近一段時間,產業區塊鏈如火如荼。一個月前,“星火杯”區塊鏈應用大賽、第五屆中國區塊鏈開發大賽紛紛拉開帷幕。上周,BSN全球合作伙伴大會在杭州舉辦.
1900/1/1 0:00:00作者：LeoLiu,GuangwuXie翻譯：VanessaCao校對：LeoLiu,GuangwuXie 排版：JaneHu 感謝：FangyuanZhao,ShowenPeng,DW.
1900/1/1 0:00:00全球最大的電影連鎖企業AMC近日表示,計劃在今年年底前接受包括比特幣、以太坊、萊特幣和比特幣現金在內的一系列加密貨幣購買電影票.
1900/1/1 0:00:00巴比特訊,9月25日,NFT游戲KnightWar完成200萬美元A輪融資,Momentum6、x21Digital、AU21、VBCVentures、AndromedaResearch、One.
1900/1/1 0:00:00注：原文來自hyperledger。2019年,全球約有79億條數據記錄遭到破壞,然而,39%的公司沒有使用強大的數據安全措施,因為部署復雜性是一大障礙.
1900/1/1 0:00:00
比特幣交易所
