BTC/HKD-0.29%
ETH/HKD-0.77%
LTC/HKD+3.02%
DOT/HKD-0.27%
ADA/HKD+7.91%
SOL/HKD-1.21%
XRP/HKD+12.39%
DOGE/US-5.36%前言
據鏈聞消息，DeFi項目YFValue發布公告稱，團隊于昨日在YFV質押池中發現一個漏洞，惡意參與者借此漏洞對質押中的YFV計時器單獨重置。目前已有一個惡意參與者正試圖借此勒索團隊。慢霧安全團隊對此進行了深入分析，以下是相關技術細節。
細節分析
分析了一大堆，回到我們最初的問題，惡意的用戶是怎么鎖定其他用戶的資產的呢？
回到用戶抵押的邏輯，可以發現抵押邏輯中的stakeOnBehalf函數本意是幫助進行抵押，但是這里有個問題，如果這個用戶先前已經有抵押了呢？那通過對已經抵押的用戶再次進行抵押，比方說抵押1個YFV，是不是就能以極低的成本重置已抵押的用戶的計時器，導致用戶在withdraw時無法成功調用。更進一步，假設YFV抵押用戶已經成功調用了stakeReward函數，在快要達到unfrozenStakeTime所規定的時間時，惡意的用戶可以通過stakeOnBehalf函數給這個用戶抵押少量資產，即可再次對抵押獎勵進行鎖定，理論上這樣往復循環，即可使用戶無法取出自己的資產，但這個問題并不會導致資金損失。攻擊流程如下：
前車之鑒
這是本月出現的第二個沒有經過審計的DeFi項目所暴露出的風險，根據YFValue的官方聲明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，項目代碼是由富有經驗的開發者進行開發的，同時借鑒了其他成功的項目的代碼，但是仍無可避免的出現了風險。術業有專攻，安全審計一方面需要項目方的正向思維，另一方面，還是需要專業的安全團隊的逆向思維，從專業的黑客角度進行模擬對抗，發現問題。
修復方案
通過分析代碼和漏洞細節，針對本次漏洞，修復方案也很簡單，只要在抵押的時候檢查用戶的抵押狀態是否為已經抵押，如果已經抵押，則不允許再次抵押。或者對每次的抵押進行單獨的處理，不能對先前的抵押狀態產生影響。
原題《OKExResearch：6大指標看懂真實的比特幣市場》作者：OKExResearch近日,據Glassnode統計報告顯示,比特幣的短期MVRV比率目前正支持牛市的說法.
1900/1/1 0:00:00撰文：李畫；來源：機械鐘原文標題：《小小的交易和大大的交易供應鏈》昨晚看到yearn體系計劃推出去中心化保險,就發朋友圈調侃：當你想要完成一筆交易時,你應該這么做.
1900/1/1 0:00:00YEarnFinance的YFI代幣是在一個月前推出的,此后,這個挖礦聚合平臺的總鎖定價值已攀升至6.11億美元.
1900/1/1 0:00:00原文：《數字貨幣的未來應用場景》作者：劉曉曙,青島銀行首席經濟學家8月14日,商務部印發了《全面深化服務貿易創新發展試點總體方案》,公布了28個全面深化試點地區.
1900/1/1 0:00:00前言 目前Filecoin項目成為區塊鏈中最為追捧的明星項目,因為Filecoin項目是當前最具可落地價值的區塊鏈應用項目.
1900/1/1 0:00:00原文：https://m.huxiu.com/article/378963.html?f=app_ios_friends 建設銀行APP可以創建“數字人民幣錢包”了！8月29日.
1900/1/1 0:00:00
比特幣交易所
internal{</p>
<p> 分析 | 主流幣資金回流 小幣種后續可能迎來爆發行情:針對近期市場整體行情走勢，分析師Potter表示：下圖為除去BTC其余加密數字貨幣總市值走勢，如圖總市值在3周前放巨量突破上升三角上邊線，這幾周一直處于加速上行走勢，前期在剛突破時已提示在BTC持續不斷的拉升走勢后，其余幣總市值或將還有40%的上漲空間，目前盤面看這一目標已經達到，總市值也從前期剛突破時的810億美元一路漲至目前1150億美元附近，目前上方壓力位在1180億美元附近，后續若能繼續放量突破，那么下一步上漲空間將繼續拉大，目前BTC已漲至階段高位創出今年新高，而其余大多數特別是小幣還處于歷史地位，漲幅并不是很大，后續在BTC包括主流幣資金回流的帶動下，小幣市場可能將迎來一波爆發行情。[2019/5/30]</p>
<p> _totalSupply=_totalSupply</p>
<p> 分析 | 數據顯示：比特幣轉賬比美國銀行法幣轉賬費用便宜6000倍:比特幣交易比傳統的法定貨幣轉賬便宜6000倍，根據美國銀行自己的利率計算。盡管人們普遍認為加密貨幣交易仍然過于昂貴，但BoA的數據顯示，每筆交易的國際電匯費用為45美元，而比特幣的平均交易費約為0.46美元。[2018/9/21]</p>
<p> 可以看到這里只是簡單的把對應的token用transferFrom的方式轉入到合約中，沒有什么特別的邏輯點。到這里整個抵押流程就很清晰了，接下來是收益的過程。計算用戶收益的是stakeReward函數，領取收益的為withdraw函數，代碼分別如下：</p>
<p> functionstakeReward()publicupdateReward(msg</p>
<p> 金色財經獨家分析 比特幣為政府提供新的安全管理和宏觀調控手段:金色財經獨家分析 隨著比特幣誕生發展、成為現象，隨之而來的安全問題和對金融穩定性的沖擊成為關鍵問題，也可以看出政府正在適應加密世界的變化，并開始學會“師夷制夷”，日前澳洲抓捕通過暗網購買非法藥物者，并告訴人們“不應該認為相關機構康不見黑暗網絡”，而早先的美國“絲綢之路”網站被查處，也早已印證了政府利用新的手段實施自己的干預。不僅在公共安全領域，在宏觀的“貨幣政策”上，政府也在增加其籌碼，消息稱美國執法部門至少保管著價值10億美元的數字貨幣，并且實際金額遠遠高于此。因此在必要時刻，美國政府可以通過類似于“公開市場操作”的方式，運用手中的比特幣籌碼，影響加密市場價格走向。雖然這影響還比較小，但隨著政府開始學會“囤幣”，其對整體的影響將不容忽視。[2018/4/16]</p>
<p> 通過分析計算收益和領取收益的代碼，發現邏輯也很簡單，stake函數首先是通過updateReward修飾器更新了用戶的獎勵，然后使用getReward函數計算了用戶的獎勵，并把抵押時間設置成當前區塊時間。最后，用戶在提取獎勵的時候，withdraw函數會首先計算當前的區塊時間，再與unfrozenStakeTime函數中計算出的時間進行對比，只有當前區塊時間大于unfrozenStakeTime計算出的時間，才允許提現。unfrozenStakeTime的代碼如下：</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 從代碼中得知，unfrozenStakeTime是使用用戶的上次抵押時間加上FROZEN_STAKING_TIME常量得出鎖定時間，只要超過時間，就能通過withdraw函數提現收益。整個抵押和領取收益的簡化流程如下：</p>
<p> <img alt=)