YFV是基于以太坊的一个DeFi项目，今天早些时候，YFV官方发文称遭到勒索。攻击者利用staking的合约漏洞，可以任意重置用户锁定的YFV。
并表示，此次事件可能和不久前的“pool0”事件相关，勒索者极有可能是在“pool0”事件中未取回资金的“愤怒的农民”。?
漏洞分析
成都链安：Goldfinch项目的SeniorPool合约遭受攻击，项目方累计损失超54万美元:据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，Goldfinch项目的SeniorPool合约遭受攻击，攻击者累计获利28523个USDC，项目方累计损失541158个USDC。经成都链安技术团队分析，本次攻击原因是攻击者可以利用Curve的FIDU-USDC池子获取FIDU代币，来获取SeniorPool合约抵押USDC代币的红利。目前Curve中FIDU兑换USDC为1:1.03, 而在SeniorPool中的比例为1:1.07，这就产生了套利空间。[2022/6/28 1:36:11]
合约存在一个stakeOnBehalf函数使得攻击者可以为任意用户进行抵押，如下图所示：
成都链安：BasketDAO遭到攻击，导致用户损失约120万美元:据成都链安链必应-区块链安全态势感知平台舆情监测显示，BasketDAO遭到攻击，导致用户损失约120万美元。通过链必追产品进行追踪分析，发现大部分被盗资金都被存入了 TornadoCash，以下为受害者地址：[2022/3/30 14:27:04]
此函数中的lastStakeTimes=block.timestamp;语句会更新用户地址映射的laseStakeTimes。而用户取出抵押所用的函数中又存在验证，要求用户取出时间必须大于lastStakeTimes72小时。如下图所示：
分析 | 成都链安：盗窃Upbit交易所黑客开始测试向交易所充值:据成都链安反系统（Beosin-AML）监测显示，Upbit攻击者于28日下午17:08开始向0xf467816地址转移60100ETH，并将少量ETH转往可能随机选取的中间地址。通过该地址，这笔小额ETH目前已经进入疑似火币交易所钱包地址0x5401dbf7da53e1c9。目前攻击者正在分散资金，且通过少量的ETH测试是否能够成功进入交易所。[2019/11/28]
UnfrozenStakeTime如下图所示：
综上所述，恶意用户可以向正常用户抵押小额的资金，从而锁定正常用户的资金。
根据链上信息，我们找到了两笔疑似攻击的交易，如下所示：
0xf8e155b3cb70c91c70963daaaf5041dee40877b3ce80e0cbd3abfc267da03fc9
0x8ae5e5b4f5a026bc27685f2b8cbf94e9e2c572f4905fcff1e263df24252965db
其中一笔如下图所示：
此两笔交易都来自同一地址，且均为极小值。由此我们可以基本判定这是一个测试锁死问题的交易。
总结
针对于本次事件，究其根本原因，还是没有做好上线前的代码审计工作。本次事件实际上是属于业务层面上的漏洞。
根据成都链安在代码审计方面的经验，个别项目方在进行代码审计时，未提供完整的项目相关资料，使得代码审计无法发现一些业务漏洞，导致上线后损失惨重。
成都链安·安全实验室在此提醒各项目方：安全是发展的基石，做好代码审计是上线的前提条件。
各位朋友们,你们好,我是阿帆老师（aftb88888)。阿帆本着负责、诚恳、认真的态度用心写好每一篇分析文章,特点鲜明,不夸张,不含糊,力求能让大家看懂大的趋势分析以及小范围的多空搏杀力度！ 技.
借贷作为DeFi中的热门赛道,一直备受市场及资本的青睐。其中,Compound凭借“借贷即挖矿”的方式成功占据行业话题点,并一跃成为DeFi市值排行第6名.
在波动波及比特币的盘整市场之后,该资产的价值在8月17日达到12473美元的峰值。但是,自从资产的交易价值一直保持在$11k的中间水平.
去中心化金融热潮涌动,关于「老韭菜」和「新韭菜」的调侃不绝于耳,市场上流行一种说法：中国的投资机构整体错过了这轮DeFi爆发的投资机遇。 真的是这样？ 我们不这样认为.
2020年4月,区块链被纳入“新基建”。7月初,人力资源社会保障部联合国家市场监管总局、国家统计局向社会发布了包括“区块链工程技术人员”、“区块链应用操作员”等在内的9个新职业,随着区块链技术发.
激励网测试周期为21天。测试网结束后,Filecoin主网将在审计后正式上线,当前主网启动时间预计在9月中下旬.
区块见闻