安全公司:YFV项目勒索事件的根本原因在于没有做好上线前的代码审计工作_SDT:fsc币usdt币

今日早间,基于以太坊的一DeFi项目YFV发文称遭到勒索。攻击者利用staking的合约漏洞,可以任意重置用户锁定的YFV。并表示,此次事件可能和不久前的“pool0”事件相关,勒索者极有可能是在“pool0”事件中未取回资金的“愤怒的农民”。成都链安分析称,合约存在一个stakeOnBehalf函数使得攻击者可以为任意用户进行抵押,此函数中的lastStakeTimes=block.timestamp;语句会更新用户地址映射的laseStakeTimes。而用户取出抵押所用的函数中又存在验证,要求用户取出时间必须大于lastStakeTimes72小时。综上所述,恶意用户可以向正常用户抵押小额的资金,从而锁定正常用户的资金。根据链上信息,我们找到了两笔疑似攻击的交易,如下所示:0xf8e155b3cb70c91c70963daaaf5041dee40877b3ce80e0cbd3abfc267da03fc90x8ae5e5b4f5a026bc27685f2b8cbf94e9e2c572f4905fcff1e263df24252965db,此两笔交易都来自同一地址,且均为极小值。由此我们可以基本判定这是一个测试锁死问题的交易。成都链安认为,本次事件的根本原因在于,没有做好上线前的代码审计工作。本次事件实际上是属于业务层面上的漏洞。根据成都链安在代码审计方面的经验,个别项目方在进行代码审计时,未提供完整的项目相关资料,使得代码审计无法发现一些业务漏洞,导致上线后损失惨重。在此提醒各项目方:安全是发展的基石,做好代码审计是上线的前提条件。

安全公司:CoFiXProtocol项目遭受价格操控攻击,攻击者获利约14万美元:据成都链安安全舆情监控数据显示,CoFiXProtocol项目遭受价格操控攻击。成都链安安全团队对此次攻击事件分析后,发现攻击者先从先闪电贷借出大量BSC-USD,再用BSC-USD兑换出DCU。然后攻击者通过利用Router合约的swapExactTokensForTokens没有校验to地址是否是msg.sender的漏洞,将对Router合约有大额授权的to地址中的BSC-USD经过BSC-USD -> DCU -> PRC的兑换路径兑换为RPC,导致LP中DCU的价格升高,最后通过前面兑换的DCU重新高价兑换成BSC-USD从而获利。目前攻击者实施了三次攻击,总计获利约145,491 BSC-USD(价值14万美元),已经兑换为BUSD并转移到攻击者的其他地址(0x5443...d7D6)中 。对此,成都链安安全团队建议用户在对合约授权时按需授权,授权值不要超过本次需要转移的代币的数量,避免因为过多授权造成意外损失。[2022/6/2 3:57:41]

360借壳成功A股上市,周鸿祎表示将依托AI、区块链等技术成为世界大安全公司:江南嘉捷正式更名为三六零安全科技股份有限公司(证券简称“三六零”,又称360,601360),三六零在上海证券交易所敲锣上市。这标志着经过历时三年的运作,360成功回归A股。谈到未来的发展,周鸿祎表示,当今社会网络安全进入了大安全时代,网络安全不仅仅是解决手机和电脑安全的问题,而是涉及国家安全、国防安全、社会安全、基础设施安全、城市安全以至于人身安全。360秉承安全第一的宗旨,将以大安全为核心,依靠人工智能、大数据、云计算、区块链、物联网等技术,希望不仅是全世界最大的网络安全公司,也希望成为中国乃至全世界最大的大安全公司,在安全的各个方面为国家、社会、股民提供好的产品和服务。[2018/2/28]

网络安全公司Recorded Future:莱特币将成为下一个暗网世界主导货币:美国网络安全公司Recorded Future称,莱特币将成为下一个暗网世界主导货币。[2018/2/8]

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

[0:0ms0-3:776ms