安全生产简析下meerkat跑路事件
一、核心问题
1.AdminUpgradeabilityProxy天然的负面影响一代理的逻辑合约可以被替换
2.AdminUpgradeabilityProxy权限没有移交timelock一项目方不受时间锁约束，可以随意使用1。所说的能力，替换逻辑合约最终项目方无限制地将正常合约替换成了攻击合约，卷款跑路。
安全团队：Defrost Finance被攻击事件简析:金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，Defrost Finance预言机被恶意修改，并且添加了假的抵押token清算当前用户，损失超1300万美元。攻击者通过setOracleAddress函数修改了预言机的地址，随后使用joinAndMint函数铸造了100,000,000个H20代币给0x6f31地址，最后调用liquidate函数通过虚假的价格预言机获取了大量的USDT。后续攻击者通过跨链的方式将被盗资金转移到了以太坊的0x4e22上，目前有490万美元的DAI在0x4e22地址上，有500万美元的DAI在0xfe71地址上，剩余300万美元的ETH被转移到了0x3517地址上。[2022/12/25 22:06:35]
二、现场还原(以BUSD池为例)?
Beosin：EthTeamFinance项目遭受到了漏洞攻击事件简析:据Beosin EagleEye 安全预警与监控平台检测显示，ETH链上的EthTeamFinance项目遭受漏洞攻击，攻击合约0xCFF07C4e6aa9E2fEc04DAaF5f41d1b10f3adAdF4通过LockToken合约的migrate函数没有正确验证_id和params的漏洞，将WTH，CAW，USDC，TSUKA代币从V2流动性池非法升级到V3流动性池，并且通过sqrtPriceX96打乱V3流动池的Initialize的价格，从而获取大量refund套利。共计套利了约1300多万美元。[2022/10/27 11:49:12]
1.项目方故意“坦诚”给出合约的timelock转移权限记录，展示的确执行了changeAdmin方法移交权限给timelock地址，用于混淆视听
慢雾：GenomesDAO被黑简析:据慢雾区hacktivist消息，MATIC上@GenomesDAO项目遭受黑客攻击，导致其LPSTAKING合约中资金被非预期的取出。慢雾安全团队进行分析有以下原因：
1.由于GenomesDAO的LPSTAKING合约的initialized函数公开可调用且无权限与不可能重复初始化限制，攻击者利用initialized函数将合约的stakingToken设置为攻击者创建的虚假LP代币。
2.随后攻击者通过stake函数进行虚假LP代币的抵押操作，以获得大量的LPSTAKING抵押凭证。
3.获得凭证后再次通过initialized函数将合约的stakingToken设置为原先真是的LP代币，随后通过withdraw函数销毁LPSTAKING凭证获取合约中真实的LP抵押物。
4.最后将LP发送至DEX中移除流动性获利。
本次事件是因为GenomesDAO的LPSTAKING合约可被任意重复初始化设置关键参数而导致合约中的抵押物被恶意耗尽。[2022/8/7 12:07:06]
2.0x7E0c621Ea9F7aFD5b86A50B0942eAee68B04A61Cproxy合约，changeAdmin方法内部调用追踪到304行，实际写入key为ADMIN_SLOT，但读取key却为ADMIN_SLOT。即O(欧)和0(零)的一个细微差异，让changeAdmin方法完全失效，从而达到了已经移交权限的假象
三、结论和经验
1.高度警惕任何包含proxy方式合约的项目，若未经timelock约束，合约有被瞬间替换的风险
2.nevertrust，alwaysverify！不要相信项目方给出的timelock“证据”，对于未经审计的fork项目，务必逐个contract做好与原项目的diff(如果你做到了，就可以躲过meerkat的障眼法)
标签：STAKSTAMINStakingInvest Like Stakeborg IndexSTA价格MINU币Liquid Staking Derivative
当地时间2月28日,加密投资基金FD7Ventures在印度班加罗尔开设了一个办事处,成立了2.5亿美元的FD7微型基金,重点投资于致力于推进Polkadot和Cardano生态系统的团队.
1900/1/1 0:00:00来源：OffchainLabs作者：EdFelten此前我发过一篇文章比较ArbitrumRollup和其他rollup解决方案.
1900/1/1 0:00:00市场概述：自上期报告所述,比特币、以太坊和UNI当时均处于结构打破的临界点,后同时放量突破结构的压制,市场情绪出现迅速反弹,后回踩仍然不改变结构打破短期看多的有效性.
1900/1/1 0:00:00来源：中国区块链技术和产业发展论坛中国电子技术标准化研究院近期已启动新一批区块链系统测试,测试结果权威可信。通过测试的企业将获颁测试证书和CNAS认可的检测报告.
1900/1/1 0:00:00“在‘十四五’时期,支持区块链技术发展,有利于赋能实体经济、优化社会治理、提升我国国际竞争力。”全国政协常委、副秘书长,民建中央副主席兼秘书长李世杰在全国两会召开前夕对中国经济时报记者表示.
1900/1/1 0:00:00注：原文作者是Bankless分析师LucasCampbell,在这篇文章中,作者总结了评估DeFi协议的12种指标,其中包括7种通用指标,以及特定于不同领域的5种评估指标.
1900/1/1 0:00:00
火星链