北京时间2022年4月21日下午3时15分，CertiK审计团队监测到ZEED项目被攻击，造成了104万美金的财产损失。被盗取资金被转移至一合约中，而该合约具有自我销毁功能，因此该操作无法逆转，资金无法被追回。
攻击步骤
①攻击者合约从HO-SWAPLP收到662枚YEED代币。
②这662枚YEED代币被发送到BSC-USD-YEED。由于收费机制的存在，一些收费代币也将被发送到3个LP对，分别是：BSC-HO-YEED2；BSC-USD-YEED2，BSC-ZEED-YEED2。
CertiK与阿里云达成合作伙伴关系，将区块链安全引入云平台:金色财经报道，区块链安全机构CertiK与阿里云宣布签署合作伙伴关系，为基于云的Web3项目提供区块链安全服务。Web3开发人员现在可以使用CertiK的端到端安全解决方案和阿里云可扩展、高效且安全的基础设施来加速他们的开发过程并保护他们的应用程序和智能合约。[2023/5/15 15:04:24]
③由于费用计算出错，一些YEED代币也将被错误地创建/发送到LP。
④从这一刻起，每个LP就处于不平衡状态。在每个LP合约中，都有着与其他代币相较过多的YEED代币。
⑤然后，攻击者将在每个LP上不断循环调用skim(to:LP)函数。该函数是为了重新调整LP内的两种代币的数量，将多余的代币发送到to参数。由于攻击者配置的目的地是LP本身，不平衡将不断增加，更多的奖励代币将被创建。
Balancer Protocol宣布上线以太坊扩展解决方案Arbitrum以扩展流动性:8月31日消息，Balancer Protocol宣布，已启动对以太坊扩展解决方案Arbitrum的支持，以显着降低gas成本并扩展流动性。用户现在可以使用Arbitrum在Balancer应用程序上进行交易。（Medium）[2021/9/1 22:50:33]
每一次的转移都会：
从一种LP发送YEED代币到另外一种LP。
向LP发送因错误产生的YEED代币奖励
通过以上方式，攻击者保持了LP内代币的不平衡，并且每次都会增加LP内YEED代币的数量。
Gnosis就是否允许锁定在Balancer池中的GNO参与快照建议投票发起提案:据官方博客消息，DeFi预测平台Gnosis发起一项提案，以确定GnosisDAO是否应该允许使用锁定在Balancer池中的GNO对快照建议进行投票。[2020/12/17 15:27:26]
比如，我们可以看到在BSC-ZEED-YEED2LP中，最初的YEED的数量是96个。
而当攻击者调用skim(to:attacker_contract)以后，LP中的YEED余额为368,560。
Kava旗下应用Harvest.io通过Certik的代码审计:区块链安全公司CertiK对Kava旗下应用Harvest.io模块的代码系统进行了审计，未发现重大或关键漏洞，验证了应用的可信度。
Harvest.io是一个跨链货币市场，也是首批搭建在Kava区块链上的应用之一。Harvest支持加密用户能够使用主流加密货币进行借贷和赚取收益。[2020/10/27]
最后一次调用，则将368,560枚代币发送给了攻击者。
攻击者对3个不同的货币对进行处理，总数为87,479,473枚YEED代币：
83,127,354YEED来自BSC-USD-YEEDLP对。
3,983,869YEED来自BSC-HO-YEEDLP对。
368,560YEED来自BSC-ZEED-YEEDLP对。
⑥然后，攻击者进行多次互换，将其收益转换为BSC-USD。
漏洞分析
攻击者通过向LP对发送代币，破坏了YEED项目内LP代币的平衡。因此，任何人都可以调用skim()函数，从而把多余的代币发送给用户。
如果正确计算金额，则一切正常。然而，在最重要的发送奖励步骤中，发送给每个接收者的奖励是rewardFee。这意味着在此条件下，并不是奖励获得者理应获取了奖励费用x1，而是在N次转移过程中获得了奖励费用xN次。
比如，用户A向用户B发送了100个YEED，如果rewardFee是10。
用户B收到90奖励
LPBSC-USD-YEED2收到10奖励
LPBSC-ZEED-YEED2收到10奖励
LPBSC-HO-YEED2收到10奖励
这样以来，就有20枚代币被错误地凭空创建了。
而真正的YEED奖励机制应该运营如下：
50%的奖励费用发送到_balances(LPBSC-USD-YEED2)
25%的奖励费用发送到_balances。
25%的奖励费用发送到_balances(LPBSC-HO-YEED2)。
写在最后
此次事件造成了104万美金的损失。由于资金在合约中，而合约具有自我销毁功能，所以该操作无法复原，即任何人都无法再取出这笔财产，包括攻击者本身。通过审计，我们可以了解到发送到LP的代币将破坏LP的平衡，并且审计也能发现奖励计算机制的错误。
本篇文章,我想深入地探讨一下NFT凭证的机制以及它是如何工作的。Web3用户可以通过参加活动以及参与协议治理来获得相关凭证。与其他类型的NFT想比,代币化凭证具有不同的价值.
1900/1/1 0:00:00SupraOracles很高兴地宣布与开放的跨链DeFi平台HashBrownSwap(HBS)建立合作伙伴关系。它是为所有人设计的次世代交易所和易于使用的钱包.
1900/1/1 0:00:00合作经济学：反对技术统治的非暴力革命这是介绍我们合作经济设计的系列文章的第一篇,描述了代币工程社区如何与CommonsStack联盟,使用这些设计来启动他们的公地经济.
1900/1/1 0:00:00前言 有人说DAO是世界第八大奇迹。DAO被认为是神奇的地方,那里的一切看起来都很酷,并且在2022年你必须成为其中的一部分.
1900/1/1 0:00:00合作社和DAOs可以互相学习什么协调和发挥作用的最佳框架可能不是在这两种模式之间做出选择,而是两者的结合.
1900/1/1 0:00:00过去的一周,波场TRON项目进展顺利,为满足波场TRON全球社区爱好者阅读,本周周报共分为14种语言,请您选择阅读.
1900/1/1 0:00:00
火星链