看到那么多无脑吹Blur的服了,APT空投吹APT,Blur空投吹Blur
今天仔细研究了一下他们产品,写个总结记录一下,顺便横向对比一下其他交易市场,先上结论:
满足极少用户的产品,而且目前跨链交易的Gas费控制极差,不建议使用。
1)为了方便阐述我的想法,画了一张图方便解释,顺便也整理一下思路简单来说,NFT交易用户可以分三部分:NFT小白用户、普通用户、专业人士。
Beosin:sDAO项目遭受攻击事件简析:金色财经报道,根据区块链安全审计公司Beosin旗下Beosin?EagleEye 安全风险监控、预警与阻断平台监测显示,BNB链上的sDAO项目遭受漏洞攻击,Beosin分析发现由于sDAO合约的业务逻辑错误导致,getReward函数是根据合约拥有的LP代币和用户添加的LP代币作为参数来计算的,计算的奖励与用户添加LP代币数量正相关,与合约拥有总LP代币数量负相关,但合约提供了一个withdrawTeam的方法,可以将合约拥有的BNB以及指定代币全部发送给合约指定地址,该函数任何人都可调用。而本次攻击者向其中添加了LP代币之后,调用withdrawTeam函数将LP代币全部发送给了指定地址,并立刻又向合约转了一个极小数量的LP代币,导致攻击者在随后调用getReward获取奖励的时候,使用的合约拥有总LP代币数量是一个极小的值,使得奖励异常放大。最终攻击者通过该漏洞获得的奖励兑换为13662枚BUSD离场。Beosin Trace追踪发现被盗金额仍在攻击者账户,将持续关注资金走向。[2022/11/21 7:53:09]
2)人数最多的的用户,他们对钱包原理不是特别清楚,也没有太高的安全意识,还按照Web2的习惯看待NFT产品所以针对这些用户有好多产品,比如币安的NFT交易所、TP,不安全,但是方便啊但是目前这些用户是最多的,但是还没有哪个平台完全满足这些人的需求,简单、安全、方便
慢雾:跨链互操作协议Nomad桥攻击事件简析:金色财经消息,据慢雾区消息,跨链互操作协议Nomad桥遭受黑客攻击,导致资金被非预期的取出。慢雾安全团队分析如下:
1. 在Nomad的Replica合约中,用户可以通过send函数发起跨链交易,并在目标链上通过process函数进行执行。在进行process操作时会通过acceptableRoot检查用户提交的消息必须属于是可接受的根,其会在prove中被设置。因此用户必须提交有效的消息才可进行操作。
2. 项目方在进行Replica合约部署初始化时,先将可信根设置为0,随后又通过update函数对可信根设置为正常非0数据。Replica合约中会通过confirmAt映射保存可信根开始生效的时间以便在acceptableRoot中检查消息根是否有效。但在update新根时却并未将旧的根的confirmAt设置为0,这将导致虽然合约中可信根改变了但旧的根仍然在生效状态。
3. 因此攻击者可以直接构造任意消息,由于未经过prove因此此消息映射返回的根是0,而项目方由于在初始化时将0设置为可信根且其并未随着可信根的修改而失效,导致了攻击者任意构造的消息可以正常执行,从而窃取Nomad桥的资产。
综上,本次攻击是由于Nomad桥Replica合约在初始化时可信根被设置为0x0,且在进行可信根修改时并未将旧根失效,导致了攻击可以构造任意消息对桥进行资金窃取。[2022/8/2 2:52:59]
3)其实目前市场的核心力量在腰部用户,也就是普通用户他们已经可以熟练的使用钱包了,而且对各种钓鱼方式也比较注意,各个Web3产品也如数家珍这个市场也是目前厮杀比较激烈的区域,包括龙头Opensea、Element、X2Y2、Looks等平台。
慢雾:DEUS Finance 二次被黑简析:据慢雾区情报,DEUS Finance DAO在4月28日遭受闪电贷攻击,慢雾安全团队以简讯的形式将攻击原理分享如下:
1.攻击者在攻击之前先往DeiLenderSolidex抵押了SolidexsAMM-USDC/DEI的LP。
2.在几个小时后攻击者先从多个池子闪电贷借出143200000USDC。
3.随后攻击者使用借来的USDC在BaseV1Pair进行了swap操作,兑换出了9547716.9个的DEI,由于DeiLenderSolidex中的getOnChainPrice函数是直接获取DEI-USDC交易对的代币余额进行LP价格计算。因此在此次Swap操作中将拉高getOnChainPrice函数获取的LP价格。
4.在进行Swap操作后,攻击者在DeiLenderSolidex合约中通过borrow函数进行借贷,由于borrow函数中用isSolvent进行借贷检查,而在isSolvent是使用了getOnChainPrice函数参与检查。但在步骤3中getOnChainPrice的结果已经被拉高了。导致攻击者超额借出更多的DEI。
5.最后着攻击者在把用借贷出来DEI兑换成USDC归还从几个池子借出来的USDC,获利离场。
针对该事件,慢雾安全团队给出以下防范建议:本次攻击的原因主要在于使用了不安全的预言机来计算LP价格,慢雾安全团队建议可以参考Alpha Finance关于获取公平LP价格的方法。[2022/4/28 2:37:18]
4)还有就是提到Blur,他是一些专业人士需要的平台,追求原教旨主义、专业的交易平台、注重交易成本之前这个领域一直是Gem和Genie的区域,现在Element也支持聚合交易,可以满足跨市场扫货的需求,Gas费用还便宜现在Blur是比这几家还要极致,做的更加的专业化和细分
5)但是越往上用户是越少的,也就是说Blur的目标人群极少,会比Gem和Genie还少这是最大的问题,他的天花板太低了,甚至就是个地板的用户量还有他的UI,因为他大量的使用了像素风格,像素风格喜欢的人很喜欢,不喜欢的人是真不习惯,大多数人知道像素风么
6)还有就是他的设计理念,不太在乎普通人的感受,我虽然买了很多NFT但是自认算是普通交易者我没有找到关于合集的信息,包括Twitter、官网等信息,更不用说基础的数据分析了。这就把太多人挡在门外了。
7)我针对单个NFT分别测试了Element、Opensea、Blur的Gas费用Element:4.63Element:5.14Opensea:5.07Blur:10.5因为大部分都是聚合Opensea的,所以Opensea最便宜,但是Element自有更便宜。
10)大家也在找各自的定位,但是Blur目前的定位非常不看好而且真正的专业交易者会直接调用OpenseaAPI不会经过他的合约再来一道,便宜、快、安全。
目前关注Opensea的求新求变,Element和X2Y2根据社区用户的产品迭代。以上,供大家参。
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。