今早一觉睡起来看群里大家都在讨论昨晚NBA带给科学家的狂欢，据说有人直接freemint了100个，按照现在0.4ETH的地板价也有一百万人民币了，原由是合约又出现了漏洞，所以来看看到底是怎么回事。
NBA于昨日发售了他们的NFT系列TheAssociationNFT，将240个球员各制作了75个NFT，总共供应18000个，白名单持有者可以freemint1个，这句话重点圈起来，之前的讲过的Gh0stlyGh0sts的那篇文章也是freemint，只需要缴纳gas费就可以mint到坐等升值，在肉眼可见的获利空间下如果能再发现点合约漏洞，比如绕过白名单或者绕过mint1个的限制，那不得把羊毛薅秃噜皮了，所以每当出现这种NFT项目都会有大量科学家盯着找漏洞，NBA这次整了个王炸，白名单限制和mint1个限制都被攻破了。
这次漏洞对于辛辛苦苦干白名单的用户也是很大的打击，没有白名单的能mint也就算了，还可以无限mint，导致把有白名单的用户名额都抢了，甚至很多用户当初都是在场外花费几千美金购买的白名单。并且在mint时涌进去一大堆科学家导致gas费飙升，白名单用户也受了无妄之灾被迫缴纳更多gas，所以也有大量的用户在维权哭诉，白名单用户在DC哀嚎一片。
这的问题主要是两个情况导致的：
1.用户绕开官网，直接通过matemask用别人已经产生的16进制InputData与合约直接交互。
2.合约对于mint的白名单校验存在漏洞。?
我们先来讲第一个，先考大家一个知识，与智能合约进行交互mint的方式都有哪几种？
首先大家肯定会说，不是在网站上点一个“mint”按钮去调用智能合约来mint吗？
《上海市民政事业发展“十四五”规划》：推动区块链等信息技术与民政工作深度融合:8月13日，上海市人民政府办公厅印发《上海市民政事业发展“十四五”规划》的通知，《规划》要求推动区块链等信息技术与民政工作深度融合，提高大数据信息综合服务管理及辅助决策应用水平，实现系统集成共建，数据开放共享。[2021/8/13 1:53:51]
这是最常规的也是所有项目方都希望我们进行的一种操作，大家应该都有蹲在屏幕前狂戳mint按钮抢公售的经历。
另外有经验的同学会说，还可以直接打开区块链浏览器如etherscan，找到项目方的合约地址，在readcontract和writecontract里对合约进行操作，很多同学都是通过这种方式抢公售的，因为你在官网里点击mint，前端要再触发请求去合约进行操作，合约再完成执行，而你直接在etherscan里操作合约会跳过第一步，速度更快，对于这个方式不了解的可以看我之前的文章怎么通过看懂etherscan了解NFT项目情况？
但是这种方式遇到两种情况是行不通的，一种是项目方根本没有开源它的合约，或者是项目方在合约接口里必须要求你传入一些如签名等参数，而这种参数只能通过项目方的中心化服务器来生成，所以强制你必须要通过项目方的官网进行操作。
其实还有第三种，直接通过matemask钱包来和合约进行操作。
大家也许会对这一种很陌生，其实你已经在不知不觉中大量的使用了这种操作，转账的过程其实就是你用钱包直接交互合约的过程。
当我给某个地址转钱时，首先点击发送。
然后输入收款地址，并输入你要转账的金额。
这个过程大家已经非常熟悉了，这其实就是你与合约交互的过程，因为转账这种动作是我把钱转给某个地址，该地址只需要收钱就好，不需要让我输入更多额外的信息，这时候你会问，mint可不一样呀，至少我需要输入mint几个，还可能包括白名单校验等，这些参数怎么输入呢？
链上ChainUP WaaS联盟与CHAINCORES链芯科技达成深度战略合作:据官方消息，链上ChainUP WaaS联盟宣布与CHAINCORES链芯科技达成深度战略合作，双方就区块链技术应用落地、区块链金融服务、资金安全等方面深度合作。
CHAINCORES链芯科技成立于2017年，总部位于新加坡，是一家区块链前沿产品研发公司，致力于推动互联网应用在区块链生态上转型的开源技术服务平台，由AKA Capital联合AI Fund、支点资本、FIRESWIRL GROUP、DYNA GROUP等百家机构战略投资千万美元，目前链芯科技打造了IPFS区块链钱包品牌SFT银狐科技、MCNS中云数科，VRF算法公链GCS、加密社交聊天NCC、区块链社交电商LINWU、数字资产交易所BWNex等多个独立品牌。
WaaS联盟作为企业专享的数字资产托管及金融服务平台，是链上ChainUP集团依托3年时间所服务的600多家企业客户技术服务经验，提供主链资产托管、节点服务、主链定制开发、热门币种一键接入、共管钱包、借贷理财等多种功能服务，联盟内部企业转账 0手续费、实时转帐，同时企业通过WaaS联盟提供的借贷、理财等多种金融服务可有效提升资金使用效率与沉淀资金价值。目前已有超过500家企业加入链上ChainUP WaaS联盟。[2021/1/8 16:42:58]
我们打开小狐狸钱包等设置，进入高级，然后下拉会看到有一个开关叫“显示十六进制数据”，把它打开。
这个开关是干嘛的呢？需要先为你讲清楚什么是十六进制数据。
你与任何一个合约交互都会为其输入一定的数据，合约接收到这部分数据进行处理，这个数据定义了你要和合约的哪个接口函数交互，要给这个接口函数传入什么参数等等，这些数据都会以16进制的形式进行压缩。
你打开etherscan，随意找到你曾经的一个交易记录点击进入详情，然后一直下拉，你会在最下面看到inputdata，右边有一长串字符，这就是你当时与这个合约的函数交互时输入的数据转成16进制后的样子。
安宁工业园区管委会将与阿里云在区块链等领域业务深度合作:昨日，安宁工业园区管委会与阿里云计算有限公司签订推进智慧园区及数字经济合作框架协议。根据框架协议，安宁工业园区管委会与阿里云将在云计算、大数据、人工智能、区块链等相关业务领域的业务进行深度合作，共同打造以“云制造”区块链为核心的工业互联网，致力于园区“数字经济”迅速发展。（昆明日报）[2020/12/24 16:20:33]
关键是这一长串无规律的数字也压根都不懂呀，先不急，这里面是有规律的，虽然这次NBA的漏洞也不要求你读懂16进制就可以直接用，但是本着求真的态度，我们还是要能理解这里面的含义。
首先我们可以看到开头的0x后面有几位字符，再往后全是0。
这几位字符就代表着你调用的这个合约函数的编码，每个函数会有一个自己的编码。
我们打开一个合约的交易记录，你会看到调用的方法中有的是如mint、transfer这种可以理解的文字，有的是0x开头的编码，因为mint、transfer这种操作函数是非常标准的，所以etherscan自动帮你把它们的编码翻译成了文字，但是有的函数是项目方自己开发的，所以只显示其原始编码。
我们在测试网试一下使用这种方式和合约直接进行交互的流程，我找到了之前部署的一套合约，然后点击进入已经完成的mint交易详情中。
上海市经信委信息化推进处处长：上海将促进区块链等技术的深度应用:第一财经讯，近日，上海市经信委信息化推进处处长裘薇接受采访时表示，上海即将发布《上海市工业互联网产业创新工程实施方案》。《实施方案》提出，在促进产业生态培育方面，上海拟加强产业创新，促进边缘计算、大数据、人工智能、区块链等新技术在工业互联网的深度应用；推进工业传感器、5G物联网通信模块、智能硬件等技术研发与应用；培育形成一批基于工业互联网的工业智能软件和服务的整体解决方案。[2018/5/17]
然后拉到最下面复制当时的inputdata。
将合约地址填写进入后，并粘贴我刚才复制的inputdata，点击下一步。
然后到了缴纳gas费的步骤。
我们可以点击数据看一下，果然这里功能类型是Mint，没错就是mint函数，说明我们成功的用之前的16进制inputdata调用到了合约。
然后点击确认缴纳gas费，到etherscan上看一下，成功了！
YeeCall与微软正在商讨深度合作:据消息人士透露，YeeCall正在与微软商讨深度合作，将微软小冰核心技术运用到YeeCall的IM服务之中，以全面提升聊天体验。合作还将涉及YeeCall接入微软云服务，为全球提供更加稳定的即时通讯服务。此前，YeeCall已成为Facebook、Google的战略合作伙伴。YEE现全球均价0.0261美元，上涨45.06%。[2018/5/2]
好了到这里我们已经很清楚的知道用已经存在的交易的16进制数据可以原模原样的执行一次合约函数。
我们刚才讲到这次问题出现的原因第二点是合约校验白名单出现了漏洞。这个漏洞给了科学家用16进制手段薅到到机会。
接下来我们看合约mint到底有什么问题，看过我之前的文章的读者应该都清楚，在mint时一般都会经过几层校验，主要包括是否开启mint校验、数量校验、白名单校验等，如下图NBA的mint合约所示，它有三层校验：
batchNumber是用来校验第几批mint，这个不是我们今天要讲的重点可以先略过。
重点是第二层的白名单校验和第三层的mint数量校验。
重点来了，第二层校验用到了一个叫verify的函数，传入了一个info参数，这是用来校验当前用户是否在白名单，问题就是出在了这里。
在解释白名单校验的问题之前，我们有必要先了解一下常见的2种白名单校验方式，在NFT行业初期，那时候很多项目的白名单都是一个个的录入的，然后在mint时校验一下当前用户的地址是否能够匹配到白名单，每录入一个都要缴纳一次gas费，成本投入极高，我周围就有人仅录入白名单就花费了数万美金。
逐渐的有人意识到这种方法又贵又笨，于是采取了一种技术难度较高但更节省gas费的方式如梅克尔树这种加密签名验证，它的原理就是将白名单不要存储在链上合约中，而是放在链下由项目方自己保管，当用户在官网mint时根据用户的钱包地址用算法生成一个签名，NBA这次使用的就是加密签名方式的校验。
具体的加密原理和代码实现方式讲起来就太复杂了先略过，感兴趣的可以自己去学习椭圆加密算法、梅克尔树这些内容。我们先了解原理即可，我们现在只需要知道这个验证的方法是需要输入一个钱包地址，校验该地址是否存在于白名单，如果存在则返回一个签名。
这时候你可能会隐约觉得有问题，既然校验的方式是输入地址返回结果，那我如果用刚才说的16进制交互的方法，我把白名单用户已经执行的交易16进制数据输入进去，不就可以完成“白名单mint”了吗，这就相当于是指纹识别开门，你把有权限人的手指头剁下来放在识别机上也一样可以进门。
这里有个问题是如果项目方又多加了一层校验比如mint者地址和校验白名单地址必须是一样的，即你解锁的手指头和进门的人必须得是一体的，这个漏洞也就堵住了，可偏偏NBA还就没有堵住。
我们再回顾一下代码，先用msg.sender获取了当前执行合约的用户地址，在最终执行mint时传入的是这个地址。
而在mint前校验的是传入一个叫info的参数，这个info的参数里面包含的地址是官网获取到操作官网用户的地址后传进来的。
明白问题所在了吗？有白名单的张三在官网点了mint，官网把张三的地址传入了info后给到合约校验通过，然后合约再执行mint时再获取一遍当前正在执行的张三地址，把NFT转给他，但是！但是没有去判断此张三是否为彼张三呀！他没有去校验这两个地址是否为同一个。
所以我完全可以先找到张三的交易记录，然后把他的16进制复制粘贴到钱包里执行交易，这时候在校验白名单时用的是张三的地址，所以会校验通过，但是mint时用的是我的地址，因为是我正在和合约进行交互。
破案了！精不精彩！我把张三的手指头砍下来进到了金库！
我们看一下规规矩矩用白名单mint的用户他们的16进制长什么样，可以看到这个地址他mint了1个NFT成功了。
然后我们看一下16进制，有两个关键点，数字1代表着他mint了1个，下面的地址就是他自己的地址，对上了。
我们再看一个昨天传遍科学家圈的一次撸了69个的巨能撸干了点啥，以下为他的地址和mint的100个NFT。
我们来看一下他的16进制都是什么，先看到45，这是什么意思呢？这不是代表着数量吗？可不是1也不是64呀，因为64的16进制就是45，所以这位巨能撸把1改成了45从而撸撸64个。
你会疑惑不是说有限制每人只能1个吗？这里就又是个漏洞，我们看到代码确实有限制，mint时你的持有量不能超过1，但是我mint的时候是0呀，我mint一万个这个限制也管不住我....不知道这个合约工程师在想啥。
接下来我们回到16进制数据，看那个合约地址，你会发现和巨能撸的对不上，说明巨能撸是把他的手指头砍下来解锁了，我们来看看是哪个倒霉蛋。
进入他的地址看到这小子也挺有钱账上躺着30个以太，被撸了也不算亏。
然后看到他的交易记录确实在昨晚mint了一个NBA，看来巨能撸就是拿着他的16进制开锁的。
这应该是我写过最精彩的一篇文章，犹如破案一般层层抽丝剥茧为大家讲清楚了科学家是怎么把羊毛薅干净的，也是我写过最累的一篇，耗时整整5个小时，写作不易，如果对你有用麻烦大家多转发扩散哈。
我之前的文章中多次强调，web3的世界因为其开源性使得作恶空间很多，当然科学家的行为是否是作恶有待商榷，但是作为项目方一定是有责任保障自己用户利益的，需要对技术有敬畏之心，代码review一定要严谨。
在Optimism官宣发币和慷慨空投之后,另一Layer2扩容方案挑战者Arbitrum的早期参与机会也备受关注.
1900/1/1 0:00:00学会安全存储你的NFT资产,并避免遭受。原文标题：《NFT防盗指南：如何保护资产安全？》随着NFT用户数、交易量和市值的不断攀升,钓鱼者、黑客等不法分子也开始瞄准这个市场,进一步威胁NFT生.
1900/1/1 0:00:00DAO会是下一次工业革命吗？基础设施/金融法律可持续发展教育领域行动主义IRL(现实生活)风险投资艺术科学时尚在我们写下《DAO改变世界的15种方式》后的8个月里.
1900/1/1 0:00:00许多区块链应用程序最有价值的属性之一就是去信任：应用程序能够以预期的方式继续操作,而不需要依赖特定的参与者以特定的方式进行操作.
1900/1/1 0:00:00在今年的超级碗期间,Meta在广告中首次推出了Quest2,这看起来像是Netflix原创剧集《黑镜》的疯狂插曲.
1900/1/1 0:00:00基本面分析是区块链/加密货币领域不可或缺的投资和交易策略之一。因此,DAOrayaki社区编译《衡量加密项目时的17个重要因素》一文.
1900/1/1 0:00:00
火星链