2023年2月21日，CertiK发现了2023年迄今为止Arbitrum上最大的退出局。一个最近推出的名为HopeFinance的项目，号称在局中损失了180万美元。然而经过调查后发现，这场局竟与该项目团队自身的相关钱包有关。该钱包地址在策划了一个获取存款的后门后，抽走了GenesisRewardsPool奖池的大量资金，造成了该起局。
事件过程
HopeFinance于2月1日开始宣传他们的项目，并宣布预计在UTC时间2月20日下午两点启动。然而，启动没多久，一个外部地址很快就耗尽了该项目的GenesisRewardsPool奖金池。
起初来看，HopeFinance项目似乎是被黑客发现漏洞并利用了。然而在检查该团队的一些钱包活动后，CertiK专家发现该项目是一个退出局。
在推出新Twitter Blue后90天内未重新订阅，将失去徽章:金色财经报道，Watcher Guru发推表示，如果现有的经过验证的推特帐户在推出新Twitter Blue后90天内未订阅新的Twitter Blue，他们将失去他们的徽章。
此前报道，马斯克要求推特Twitter Blue服务增加验证用户功能，并由现在的4.99美元收费提价至19.99美元。马斯克认为此项改动将有助于推特解决机器人账户问题，其要求推特员工在11月7日前推出该功能。
注：Twitter Blue（推特蓝）是推特的一项付费订阅服务，提供一系列高级功能，用户可以收藏自己喜欢的推文，并分类标记。收藏夹的颜色、名称可以由用户自定义，并且支持同一个内容加入多个收藏夹。[2022/10/31 11:59:58]
当然，并非所有与HopeFinance公司有关的团队成员都参与了该起退出局。事后，该项目的推特账户发布了一张他们声称“局负责人”的图片，同时还附上其身份证等信息。
a16z宣布放弃实体总部并迁移到云端，硅谷正逐渐失去网络效应:7月22日消息，Andreessen Horowitz（a16z）创始合伙人Ben Horowitz撰写最新文章，宣布未来a16z的总部将设在云端，在公司的新运营模式中，主要以虚拟方式工作，但是可以根据实际需求设立实体办公室，帮助企业家更好地发展。[2022/7/22 2:30:28]
被指控的人员是一名尼日利亚学生，大家很快找到其Linkedin账号，尽管没有发表过任何动态，但仍可确认该Linkedin账号属于该学生。
CertiK安全专家发现，一旦外部地址EOA0x...9113调用含有关键漏洞的OpenTrade函数，GenesisRewardsPool合约的资金就会被抽走。总价值186万美元的被盗资金在被桥接到了以太坊之后存入到了TornadoCash。
报告：机构投资者正在对比特币失去兴趣:金色财经报道，区块链分析公司Glassnode发布报告称，机构投资者正在对比特币失去兴趣。Glassnode表示，灰度比特币信托 (GBTC) 目前的交易价格持续低于资产净值(NAV)， 这意味着现在购买灰度比特币信托基金的份额比购买比特币本身便宜。Purpose和3iQ的比特币ETF的比特币总量已经减少，上个月有8037枚BTC流出这两个产品。此外，美国最大的加密货币交易所Coinbase的代币余额仍然停滞不前。 由此看出，机构需求似乎仍有些低迷。[2021/6/30 0:15:52]
为了抽走GenesisRewardsPool资金池的资金，EOA0x...9113创建了一个假的路由器合约，并将这个地址更新为GenesisRewardsPool资金池内的SwapHelper。
Coinbase因请求支付的地址与SegWit不兼容致用户失去资金 目前以得到解决:3月12日有Reddit用户发布帖子，称自己是Coinbase平台的用户，因平台支付网关存在问题，未能将比特币发送给商家。该用户提出错误是由比特币支付协议（BIP70）中的问题引起，Coinbase可能错过了BIP70协议的更新，导致该用户试图发送的比特币丢失。Coinbase团队及时向Cointelegraph表示BIP70支付协议已经更新，但问题还是出现了，这是因为请求支付的地址与SegWit不兼容。 Coinbase发言人表示，此次事件影响了不到30个客户，并已经立即得到解决。[2018/3/14]
虽然这会带来私钥泄露的嫌疑，但它也意味着，需要多签钱包四个所有者中的三个得到确认。即:任何外部黑客都必须在任何资金被盗之前破坏三个外部地址。虽然这不是完全不可能，但是概率很小。
当检查0x8EBd0所有者EOA时，我们可以看到EOA0x11a9b和0xe1c37没有交易历史。一个钱包是奖池创建者，另一个钱包最初由Binance资助。
链上分析
①该事件是从0x4481A创建了一个未经验证的假路由器合约开始。
②然后GenesisRewardPool被用来更新SwapHelper，将路由器地址改为第一步创建的假地址。这个setRouter更新需要多签钱包0x8ebd的四个所有者中三个所有者的批准。
对setRouter的更新进行多签批准
③0x4481A调用了假的路由器合约，并调用0x3c6455ac函数用以更新_swapExactTokenForTokens和_USDC两个参数，其中第一个参数被设置为0x957D，第二个留了空白。
④0x4481A两次调用OpenTrade，用于借入资金，一次用于Pool0(WETH)，另一次用于Pool1(USDC)。两次OpenTrade调用，总共向0x957D转移了477枚WETH和1,061,759枚USDC。
对于Pool0，OpenTrade的调用触发了477枚WETH转移到HopeTradingHelper。此时，WETH会被正常的发送到swap地址并转换为USDC。
另外一边，在对0x1994函数反编译后，我们可以看到变量`v9`被赋值为`address(varg2)`，也就是交换`path`中的第一个token，即WETH。同时变量`v2`被赋值为预先设定的接收地址，即0x957D。而`v17`被赋值为`TradingHelper`地址，该地址存储了所有的WETH。
下图的一行代码，仍然是在_swapExactTokensForTokens函数中，将'v56'地址的477WETH从msg.sender的v17转移到了接收地址0x957D。
⑤两次OpenTrade调用，总共向0x957D转移了477枚WETH和1,061,759枚USDC。这些资金通过CelrBridge桥接到以太坊，并转换为总共1,095个ETH，然后被发送到TornadoCash。
1.a16z：代币设计的陷阱、解决方案与未来展望代币是一个非常有趣、有用、强大的新型工具,它改变了协议的设计方式和可以实现的结果,但代币并不是设计的核心对象.
作者：大圣web3 2月15日凌晨2:30,期待已久的BlurToken上线,同时项目方向符合条件的参与者开放CarePackages申领,第三轮airdrop开始,再次引发市场狂热.
ETH当前的年通货膨胀率为-0.02%,自合并以来总供应量减少了9500多枚根据UltrasoundMoney的数据,ETH年通货膨胀率在1月15日降至0以下.
美国证券交易委员会就币安的稳定币是否是一种证券发出警告,这可能会暗示某种类型的与美元挂钩的代币可能会受到监管审查.
作者：ThorHartvigsen 编译：DeFi之道 让我们探索安全、可扩展和去中心化的下一代去中心化稳定币。稳定币市场是未来的万亿美元产业。如果您知道去哪里寻找,则有一些重大机会可以利用.
Eigenlayer是能够至少延续到24年的新叙事,作为主打ETH“共享安全”的重大创新,其提出的LSD流动性代币的再质押方案,具有多条叙事逻辑加持.
区块见闻