今日早间，基于以太坊的一DeFi项目YFV发文称遭到勒索。攻击者利用staking的合约漏洞，可以任意重置用户锁定的YFV。并表示，此次事件可能和不久前的“pool0”事件相关，勒索者极有可能是在“pool0”事件中未取回资金的“愤怒的农民”。成都链安分析称，合约存在一个stakeOnBehalf函数使得攻击者可以为任意用户进行抵押，此函数中的lastStakeTimes=block.timestamp;语句会更新用户地址映射的laseStakeTimes。而用户取出抵押所用的函数中又存在验证，要求用户取出时间必须大于lastStakeTimes72小时。综上所述，恶意用户可以向正常用户抵押小额的资金，从而锁定正常用户的资金。根据链上信息，我们找到了两笔疑似攻击的交易,如下所示：0xf8e155b3cb70c91c70963daaaf5041dee40877b3ce80e0cbd3abfc267da03fc90x8ae5e5b4f5a026bc27685f2b8cbf94e9e2c572f4905fcff1e263df24252965db，此两笔交易都来自同一地址，且均为极小值。由此我们可以基本判定这是一个测试锁死问题的交易。成都链安认为，本次事件的根本原因在于，没有做好上线前的代码审计工作。本次事件实际上是属于业务层面上的漏洞。根据成都链安在代码审计方面的经验，个别项目方在进行代码审计时，未提供完整的项目相关资料，使得代码审计无法发现一些业务漏洞，导致上线后损失惨重。在此提醒各项目方：安全是发展的基石，做好代码审计是上线的前提条件。
安全公司 Dedaub 发现 Solidity 编译器存在漏洞，多数已部署合约中的死代码极大增加 Gas 费成本:2月11日消息，安全公司 Dedaub 团队发现以太坊编程语言 Solidity 编译器存在漏洞，导致已部署的合约字节码中包括死代码（dead code），致使部署和操作智能合约时极大地增加了 Gas 费成本。Dedaub 表示，团队在评估开源二进制分流器 Gigahorse 时发现了这个错误。当库方法只被合约的构造器调用时，该漏洞就会出现。
通过 Gigahorse 分析，Dedaub 发现至少 35% 合约上存在一些死代码，其中 33% 占据其运行的大部分字节码。这些结果以 NFT 代理为主导，但其他代理合约也有同样问题。对于大型合约，该问题可以被忽略，但大多数已部署的合约都是小型合约。Dedain 团队在去年 11 月就已经发现了这个错误，并提醒 Solidity 团队确认该问题。[2023/2/11 12:00:31]
安全公司：BistrooIO遭受重入攻击，损失约47000美元:5月8日消息，据成都链安“链必应-区块链安全态势感知平台“安全舆情监控数据显示，BistrooIO 项目遭受重入攻击，损失1,711,569个BIST（约47000美元），经成都链安技术团队分析，本次攻击原因是由于pTokens BIST代币支持ERC-777的代币标准，其合约在实现transfer调用的时候，会调用_callTokenToSend，进而调用tokensToSend()函数，攻击者在该函数中通过重入方式调用了EmergencyWithdraw函数，造成重入攻击。[2022/5/8 2:58:42]
动态 | 硅谷AI区块链安全公司AnChain.ai与数据可视化公司Graphistry达成合作:近日，硅谷领先的区块链安全服务公司AnChain.ai与数据可视化公司Graphistry达成合作。 早在本月初，AnChain.ai就通过态势感知发现了隐藏在以太坊游戏FOMO3D和Last Winner背后的黑客团伙 BAPT- F3D和BAPT-LW20，并通过与Graphistry的合作，视觉化还原了黑客攻击的全过程。该黑客团伙通过智能合约漏洞，发动攻击，仅仅4天就获利5194ETH，约合1200W人民币。 AnChain.ai与Graphistry的此次合作调查证实了区块链领域高级持续性攻击（即BAPT，由AnChain.ai发现并命名）的存在，双方将发挥各自在人工智能、区块链安全、数据挖掘、数据可视化等领域的专长，最大限度的保障 Dapp 开发者、交易所及区块链生态的安全与透明。[2018/8/29]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。