BTC/HKD+0.89%
ETH/HKD+0.8%
LTC/HKD-0.46%
DOT/HKD+0.84%
ADA/HKD+0.94%
SOL/HKD-0.82%
XRP/HKD+4.34%
DOGE/US+2.87%前言
北京時間2022年6月8日，知道創宇區塊鏈安全實驗室自動數據監測工具監測到BSC鏈上NFT項目GYMNetwork因"PublicdepositFromOtherContract"權限控制問題被攻擊，損失包括7475枚BNB，共計約216W美元，目前已將兌通過DEX換70W美元的ETH通過Celer跨鏈到以太坊，2000枚BNB利用BSC-Tornado進行混幣，余下3000枚BNB在攻擊者地址。
知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件并分析。
基礎信息
被攻擊合約：0x0288fba0bf19072d30490a0f3c81cd9b0634258a
英國FCA：從10月8日開始，加密公司將只有四種合法傳播加密資產促銷的途徑:金色財經報道，英國金融行為監管局(FCA)宣布，所有向英國用戶進行營銷的加密資產公司必須在2023年10月之前遵守其金融促銷制度。FCA在7月4日的信函中表示，從10月8日開始，在英國運營的公司將只有四種合法傳播加密資產促銷的途徑，以遵守金融監管機構的制度。這些法律途徑包括讓授權方批準或傳達促銷活動、由在FCA注冊的企業創建促銷活動，或者根據英國《金融服務和市場法案》獲得豁免資格的促銷活動。[2023/7/5 22:17:54]
攻擊者地址：0xB2C035eee03b821cBe78644E5dA8B8eaA711D2e5
攻擊合約：0xcD337b920678cF35143322Ab31ab8977C3463a45、0x68b5f1635522ec0e3402b7e2446e985958777c22
ARK Invest報告：預測到2030年之前比特幣價格將達到100萬美元:金色財經報道，ARK Invest在其“2023 Big Ideas”研究報告中表示，盡管出現了嚴重的衰退，但公共區塊鏈仍在繼續孕育多種革命，其中之一就是比特幣。
在ARK看來，盡管2022年動蕩不安，但比特幣的基本面良好，因此預計其在2030年結束之前仍將達到100萬美元。
ARK寫道，由中心化交易對手引起的傳染提升了比特幣的價值主張，去中心化、可審計性和透明度。它的網絡基本面得到加強，其持有者基礎變得更加關注長期。ARK通過指出更高的哈希率、長期持有者供應以及與之前的衰退相比非零余額來支持這一說法。
ARK稱，由于這種基本面穩健，比特幣的表現繼續優于傳統資產類別。從五年的復合年增長率來看，比特幣平均上漲了272%，而全球股市上漲了6.1%，全球債券的收益率為1.4%，黃金上漲了2.2%。[2023/2/1 11:41:22]
tx：0xfffd3aca0f53715f4c76c4ff1417ec8e8d00928fe0dbc20c89d875a893c29d89
隱私網絡Iron Fish激勵測試網Phase 3啟動:1月26日消息，Layer1隱私網絡IronFish激勵測試網Phase 3啟動，用戶可以通過與其交互賺取積分，IronFish將在主網啟動時將積分轉化為Token。[2023/1/26 11:30:25]
GymSinglePool代理合約:0xa8987285e100a8b557f06a7889f79e0064b359f2
漏洞分析
項目方在GymSinglePool合約中實現過程中對于0x0288fba0bf19072d30490a0f3c81cd9b0634258a#depositFromOtherContract函數缺少了權限控制，導致攻擊者能夠通過該函數調用內部_autoDeposit函數實現零消耗質押：
數據：算法Stablecoin MIM短時脫錨至0.9465美元:11月8日消息，據Chainlink實時數據顯示，算法StablecoinMIM價格短時脫錨至0.9465美元，現報0.9813美元。[2022/11/8 12:31:47]
對于應該開放給用戶的質押內部函數是_deposit函數，該函數實現了對于token的審批傳入，如下圖所示：
對應的_autoDeposit函數則實現了"特權"質押，即不需要轉入Token進行質押。同時該函數直接暴露給了用戶，函數對比如下：
對沖基金億萬富翁艾倫·霍華德仍在投資加密初創公司:金色財經報道，6月中旬，英國對沖基金經理艾倫?霍華德(alan Howard)參與了加密品牌工作室sciencemmagic的1030萬美元的種子融資。他還參與了“邊玩邊賺”的元宇宙創業公司Atmos Labs 1100萬美元的種子輪融資。
到目前為止，霍華德在2022年已經資助了13個與加密相關的項目，盡管大多數是在加密市場暴跌之前。他總共支持了大約40個加密貨幣項目，包括交易所FTX和Bitpanda、Polygon、Ledn和Block。
霍華德去年開始交易加密貨幣，幾年來他一直將個人財富投資于數字資產。（blockworks）[2022/7/15 2:16:19]
攻擊流程
攻擊者為了防止鏈上MEV和搶跑機器人，將合約進行了分步部署執行，同時部署/調用了多次以完成對GymNetwork合約(0x3a0d9d7764FAE860A659eb96A500F1323b411e68)中的GYMNETToken完全抽離，以其中一筆部署調用為例：
1.部署合約后調用depositFromOtherContract實"特權"質押，對應0xfd4a2266方法：
內部調用細節如下:
2.調用0x30649e15實現對上一步特權質押的Token回撤：
3.利用0x1d111d13函數售出獲取到的的GYM-Token：
重復多次"特權"質押--回撤--售出步驟，攻擊者最終獲取到7475枚BNB:
為了抑制搶跑，攻擊者將添加質押和回撤進行了步驟分離，兩個步驟均為核心操作，同時刻意提高添加部分步驟的GasPrice為15/20gwei,可見攻擊者是有意為之。
溯源處置
本次攻擊原因是項目方實現的特權函數權限控制不當，在攻擊發現的1小時后項目方將GymSinglePool代理合約的邏輯合約進行了多次修改，為其添加了權限控制：
并在20分鐘后對邏輯合約添加了緊急賬戶處置函數：
而對于項目方Deployer地址分析，其部署的多個GymSinglePool合約根據追蹤僅在兩天前部署的GymSinglePool合約中存在漏洞，4天前的合約則不存在此函數：
同時代理合約對應的邏輯合約被升級為漏洞合約的事件發生在在2days13hrsago：
攻擊者的資金準備(FromTornado)則在約6小時以前，攻擊者的身份也值得令人深思。
總結
雖然只是一處小的控制缺陷，卻導致了數百萬美元的損失。項目方的處置雖較為及時，漏洞導致的損失卻難以挽回。該類型漏洞在審計過程中很容易被發現并將歸納到邏輯缺陷/不安全的外部調用，各項目方在開發和審計流程上切莫大意。
2022年7月14日,CoinW幣贏官方宣布正式成為2022東亞杯EAFFE-1Championship官方合作伙伴,也是全球首家與東亞杯官方合作的加密資產平臺.
1900/1/1 0:00:00本周摘要： -V神參加了上海ETHWeb3.0開發者峰會,并就即將發生的TheMerge做了全面的演講.
1900/1/1 0:00:00據最新消息,6月21日,SUN.io上的2pool(USDD/USDT)礦池APY最高達45.49%,為全網最高。加入SUN.io2pool穩定幣挖礦,即可享受豐厚的USDD+SUN雙幣獎勵.
1900/1/1 0:00:00隨著加密資產行業逐漸成為主流,越來越多的公司和個人正在尋找安全托管資產的方法。QredoNetwork為機構和交易者提供了一種在不犧牲控制權的情況下存儲資產的新方式.
1900/1/1 0:00:00曾經有一段時間,所有加密貨幣都與比特幣(BTC)進行交易。當投機者看到可靠的代幣經濟學或有希望的炒作時,他們會冒險進入其他代幣,但比特幣是他們選擇的結算代幣。事情變了.
1900/1/1 0:00:00TigerVCDAO是一個完全的去中心自治組織,其核心目標是通過DAO的方式構建屬于每一個人的去中心化VC.
1900/1/1 0:00:00
加密貨幣交易所
