据慢雾区情报，2020 年 11 月 22 日，以太坊 DeFi 项目 Pickle Finance 遭受攻击，损失约 2000万DAI。慢雾安全团队第一时间跟进相关事件并进行分析，以下为分析简略过程
1、项目的 Controller 合约中的 swapExactJarForJar 函数允许传入两个任意的 jar 合约地址进行代币的兑换，其中的 _fromJar, _toJar, _fromJarAmount, _toJarMinAmount 都是用户可以控制的变量，攻击者利用这个特性，将 _fromJar 和 _toJar 都填上自己的地址，_fromJarAmount 是攻击者设定的要抽取合约的 DAI 的数量，约 2000万 DAI
欧洲央行执委帕内塔：数字欧元“可能”获得法定货币地位:11月9日消息，欧洲央行执委帕内塔表示：数字欧元“可能”获得法定货币地位。（金十）[2021/11/9 6:41:31]
2、使用 swapExactJarForJar 函数进行兑换过程中，合约会通过传入的 _fromJar 合约和 _toJar 合约的 token() 函数获取对应的 token 是什么，用于指定兑换的资产。 而由于 _fromJar 合约和 _toJar 合约都是攻击者传入的，导致使用 token() 函数获取的值也是可控的，这里从 _fromJar 合约和 _toJar 合约 获取到的 token 是 DAI，。
YFI突破70000美元关口 日内涨幅为10.71%:欧易OKEx数据显示，YFI短线上涨，突破70000美元关口，现报70041.0美元，日内涨幅达到10.71%，行情波动较大，请做好风险控制。[2021/5/18 22:13:46]
3. 此时发生兑换，Controller 合约使用 transferFrom 函数从? _fromJar 合约转入一定量的的 ptoken，但是由于 fromJar 合约是攻击者控制的地址，所以这里转入的 ptoken 是攻击者的假币。同时，因为合约从 _fromJar 合约中获取的 token 是 DAI，然后合约会判断合约里的资金是否足够用于兑换，如果不够，会从策略池中赎回一定量的代币 然后转到 Controller 合约中。在本次的攻击中，合约中的 DAI 不足以用于兑换，此时合约会从策略池中提出不足的份额，凑够攻击者设定的 2000万 DAI?
4. 兑换继续，Controller 合约在从策略池里提出 DAI 凑够攻击者设定的 2000万 DAI后，会调用 _fromJar 的 withdraw 函数，将攻击者在第三步转入的假 ptoken burn 掉，然后合约判断当前合约中 _toJar 合约指定的 token 的余额是多少，由于 _toJar 合约指定的 token 是 DAI，Controller 合约会判断合约中剩余 DAI 的数量，此时由于 第三步 Controller 合约已凑齐 2000万DAI，所以 DAI 的余额是 2000万。这时 Controller 合约调用 _toJar 合约的 deposit 函数将 2000万 DAI转入攻击者控制的 _toJar 合约中。到此，攻击者完成获利
总结：此次攻击中，攻击者通过调用 Controller 合约中的 swapExactJarForJar 函数时，伪造? _fromJar 和 _toJar 的合约地址，通过转入假币而换取合约中的真 DAI，完成了一次攻击的过程。
金色周刊是金色财经推出的一档每周区块链行业总结栏目,内容涵盖一周重点新闻、行情与合约数据、矿业信息、项目动态、技术进展等行业动态。本文是其中的项目周刊,带您一览本周主流项目以及明星项目的进展。
开放银行的变革正在迅速聚集动力,虽然这种过渡可能会提高银行业务的运营效率并提升用户体验,但也可能使个人面临隐私和安全漏洞的威胁。由于要求银行能够提供个人财务信息,因此可能难提供基本的保护,这就是经过数字验证的自我主权ID的来源。 自第二个支付服务指令（PSD2）生效以来已经一年了。
2020年11月21日,比特币价格突破18960美元,直逼历史最高价格19763美元。 数据显示,自5月13日比特币减半后的六个月内,灰度增持的比特币数量基本等于其同期开采量。
头条 ▌以太坊2.0存款合约地址余额已超26万ETH 进度达50.46% 据ETH2区块浏览器beaconcha.in官方推特,截至11月23日02:00,以太坊2.0存款合约地址余额已达264544枚ETH,距离524288枚ETH启动以太坊2.0创世区块的最低要求已完成50.46%。
DeFi数据 1.DeFi总市值：192.704亿美元市值前十币种涨跌幅,金色财经制图,数据来源Debank 2.过去24小时去中心化交易所的交易量：5.2亿美元 交易量排名前十的DEX 数据来源：Debank 3.DeFi借贷平台借款总量：33.4亿美元 DeFi借贷平台借款占比,金色财经制图。
今年以来,央行数字人民币试点持续引发热议。11 月 23 日,苏州将于双十二推出数字人民币红包测试的消息再次引起市场关注。此前,10 月 11 日 8 时,「礼享罗湖数字人民币红包」预约工作圆满结束,系统成功完成试点预约登记,迈出了数字人民币发展进程中的重要一步。
区块见闻