加密貨幣交易所 加密貨幣交易所
Ctrl+D 加密貨幣交易所
ads
首頁 > FTX > Info

老調重彈,淺談 “通縮型代幣” 兼容性問題_ANC:QUID

Author:

Time:1900/1/1 0:00:00

By:flush@慢霧安全團隊

據慢霧區情報,MDEX的XSquid和HT代幣池子中HT代幣在沒有進行swap的情況下被頻繁抽取,慢霧安全團隊對此介入分析,并將簡要分析分享如下。

攻擊核心

本次攻擊的核心在于利用XSquid映射通縮型代幣的模型,在轉賬后會發生通縮,自身合約所獲取的balanceOf與通過Mdexpair池所獲取到的reserve不匹配的問題,使得攻擊者可以抽取池中的HT代幣。

攻擊細節

5億枚XRP從托管賬戶解鎖,并轉至一未知地址:金色財經報道,Whale Alert監測顯示,北京時間08:00,5 億枚 XRP(約 2.57 億美元)從托管賬戶解鎖,隨后被轉至一未知地址。[2023/6/1 11:51:18]

由鏈上分析工具我們可以看到,這筆交易中Mdexpair池最終向攻擊者轉移了0.003枚WHT代幣,而鏈上的交易記錄顯示還有很多筆這樣的交易與之相同。

接下來我們仔細觀察這筆交易的細節,這是一個XSquid和HT的MdexPair池,在對XSquid進行swap轉賬前pair合約通過getReserves接口所獲取到池子中_reserve0為1010.505640800917497232。但在下一步通過XSquid合約的balanceOf獲取pair余額后我們卻發現結果為1010.5060773394782,數量上存在明顯的差異。

Binance已支持Google One Tap直接登錄或注冊:1月15日消息,最新的BinanceBuild更新,用戶現在可以使用Google One Tap直接登錄Binance或在Binance上進行注冊。[2023/1/15 11:13:29]

但是在最后一次更新reserve之后并沒有用戶向合約中進行轉賬。于是我們就可以定位到,是在balancOf獲取時造成的誤差。于是我們開始查看XSquid合約,并定位到balanceOf函數合約的715行。通過函數的一步步跟蹤balanceOf。

美股短線下挫,納指、標普500指數均跌超2.6%:行情顯示,美股短線下挫,納指、標普500指數均跌超2.6%,道指跌近2.5%。[2022/9/24 7:17:31]

其中balanceOf調用了tokenFromReflection來獲取。而tokenFromReflection函數中傳入的是所映射的rAmount.div(currentRate)。currentRate又是由_getRate函數決定的。通過_getRate我們接著跟蹤到?_getCurrentSupply函數。

根據一步步的定位我們發現,合約中代幣的_tTotal總量是不會發生變化的,最終影響_getCurrentSupply輸出結果的是由于_rTotal值的變化而造成的。從合約我們發現XSquid是映射通縮型代幣,而在每一次轉賬時計算_rTotal都會由?_reflectFee產生通縮使得_rTotal值減少,而造成currentRate因此減少,而?rAmount.div(currentRate)增大,最終造成所獲取到的balanceOf大于getReserves所獲取到的值。

這樣就造成了一種假象,使得池子認為外部又多打入了XSquid進來。這時攻擊者只需要調用MdexPair合約的swap函數根據上訴計算的差額來抽取代幣,或者是調用skim函數直接轉走代幣。由此,可從池子中抽離這一小部分“多余”而不屬于他的HT。對此,我們可以在每次轉賬最后通過調用sync函數強制準備金與余額匹配同步更新,來避免以上不匹配的問題。

總結

此次抽池的核心問題在于“通縮映射型代幣”與項目合約不兼容所導致的。而代幣與DeFi項目合約代碼不兼容所導致的安全問題已是重復出現的老問題了,慢霧安全團隊再次提醒:由于DeFi項目需要多個合約間進行交互,在進行設計時項目方應充分考慮不同合約間交互的兼容性問題,并確保交易對與項?是相互兼容的。

Tags:ANCNCESQUIDQUIDPanda FinanceBent Financesquid幣最高時多少錢QUID價格

FTX
從“國家”的視角看公鏈:傳統估值邏輯并不適用_ETH:gdp幣種

作者:@RealNatashaChe翻譯&編者按:MintVentures許瀟鵬 ▌核心觀點速覽 編者按:公鏈如何估值一直是個難題,本文提出了以國家的視角來看待公鏈.

1900/1/1 0:00:00
關于加密市場的行情預測分析_比特幣:以太坊價格今日行情比特幣

先和大家分享一幅圖: 這幅圖是推特上一位大V利用他自己擬合的數據模型預測的比特幣未來的價格走勢。這幅圖分享出來的日期是今年的6月底.

1900/1/1 0:00:00
BSC 成為 GameFi 熱土,鏈上“王炸”玩賺游戲一覽_EFI:MEF

撰文|顧我,黑米 出品|白澤研究院 昨日,GameFi再次成為加密社區的焦點,起因是幣安智能鏈的GameFi游戲龍頭Mobox空投總價值高達100萬美元的NFT.

1900/1/1 0:00:00
丁君羨:BTC砸盤在拉回 走強但別追多 今日視頻解析_GREG:MONGOOSE價格

  BTC:大餅昨天凌晨最低53300附近,破了之前的低點后開始一波拉升,跟我之前說的53000接多位置只差了300點。目前整體的結構來看,上周五的黑天鵝事情基本消化完畢.

1900/1/1 0:00:00
七彩研究院 元宇宙你了解了多少,搶占先機了嗎?_元宇宙:Cloudname

《元宇宙你了解了多少,搶占先機了嗎?》在七彩研究院直播間進行干貨分享。主持人:七彩研究院雪糕,分享嘉賓:區塊鏈行業資深布道者–云飛。以下內容由YouName提供,七彩研究院整理發布.

1900/1/1 0:00:00
比特幣交易量已超 PayPal, 2026 年料超過萬事達卡_比特幣:比特幣交易所下載官網app

市場研究平臺Blockdata在一份新報告中表示,比特幣在處理的美元交易量上可能超過信用卡巨頭萬事達。比特幣最近才在價值轉移方面超越了支付巨頭PayPal.

1900/1/1 0:00:00
ads