ATS:案例 | UniCats “开后门” 钓鱼 十数万UNI“洗白”

时值国庆大假期间，加密钱包初创公司ZenGo的研究员亚历克斯·马努斯金爆料称，有用户一夜之间损失了价值14万美元的Uniswap代币UNI，而这与名为UniCats的“收益农场”有关。

据了解，一些参与DeFi提供流动性挖矿赚取收益的用户最近发现了UniCats这个新农场。从界面来看，UniCats类似YamFinance和SushiSwap；收益方面，不仅可挖矿本地MEOW代币，同时还可挖出包括UNI在内的其它代币。

韩国当局正研究美SEC诉XRP案件等案例，以参考制定ST0相关规定:2月14日消息，据消息人士透露，韩国金融监督院下属的数字资产研究组正在以虚拟资产相关的海外事例为中心进行研究，包括仔细参考预计最早于3月取得结果的XRP和美国证券交易委员会（SEC）之间的诉讼，以制定韩国国内证券型代币（ST0）相关规定。

此前金色财经报道，韩国金融服务委员计划允许ST0以证券形式发行和流通，区别于虚拟资产；韩国金融监督院院长表示，将统一代币“证券属性”判断标准，并于本月召开说明会。（News1）[2023/2/14 12:05:10]

界面友好，产能不赖，资产入场。

当用户准备提供流动性时，UniCats弹出提示框，要求获取消费限制许可，而该许可的限制是：无限。

用户可能怎么也不会想到，在这个无限消费的许可的背后，UniCats开发者早已暗置了一个直通自家资产的“后门”。用户的资产可由此被悄悄转移至开发者指定的地址。

蚂蚁链开发者实验室推出首个上链小游戏应用案例:2月22日消息，蚂蚁链视频号推出蚂蚁探险，为蚂蚁链开发者实验室首个上链的小游戏案例。据悉，蚂蚁探险除了在鲸探上提供数字藏品，也会成为玩家在数字宇宙中的随身安全卫士。[2022/2/22 10:08:37]

就这样，有大胆且不幸的“农夫”瞬间被窃取了价值14万美元的UNI，而其他用户也有不同程度的损失。

盗窃“现场”

那么，UniCats开的这个“后门”，又是如何对用户进行窃金操作的呢？

1、盗窃者首先将UniCats的owner权限转移给一个合约地址。

2、盗窃者通过获得owner权限的合约地址调用UniCats的setGovernance方法。

3、setGovernance函数调用对于代币的transferFrom函数，将用户资产转移到盗窃者地址。

澳大利亚央行官员：将加强CBDC研究，但尚未确信存在政策案例:11月18日消息，澳大利亚储备银行支付政策主管Tony Richards在澳大利亚企业财政协会上表示，澳大利亚储备银行一直在加强对央行数字货币（CBDCs）的研究，但不相信“澳大利亚已经出现了强有力的政策案例。”他表示，澳大利亚目前的支付基础设施为消费者提供了充足的安全和便利的选择，然而，鉴于世界各地的支付创新，提供一种新的数字货币形式可能是“维护对国家货币的信心和法定货币在货币、金融和支付系统中的核心作用 ”以及防止大型技术垄断的关键。此外，央行也在与金融监管机构理事会（CFR）、澳大利亚交易报告和分析中心以及澳大利亚竞争和消费者委员会一起研究稳定币监管。（CoinDesk）[2021/11/18 22:01:35]

第2、3步为此次盗窃的核心步骤，如下图所示：

“椰子积分区块链监管平台”入选毅伟商业案例库:近日，以火币中国与椰云网络、海南银行等共同开发为主体，火币中国产业赋能中心项目总监李骅熹博士参与撰写的英文商科教学案例“椰子积分区块链监管平台”被国际著名案例研究机构——毅伟商业案例库（iveycases）（案例编号：9B20M071）在线出版发行。

据了解，毅伟商业案例库与哈佛案例库、欧洲案例库并称为“国际三大商业案例库”，代表了全球教学案例出版的最高标准，是全球领先的商业案例提供商。[2020/4/23]

Telegram“搬砖套利”最新案例，单一用户被370个ETH:据CoinHunter.io监测，北京时间3月16日23:59:42，有用户又遭遇Telegram搬砖套利。不法分子假借“搬砖套利”的说辞，声称1个ETH可以兑换70个“HT”，从而引导用户将350个ETH转入者0x40F5Db1开头的合约地址中，并返还给用户虚假“HT”从而取用户资产。截至报道时局仍在持续运转，CoinHunter再次提醒用户防范“搬砖套利”局，以免造成不必要的资产损失。[2020/3/23]

“后门”分析

UniCats合约中的setGovernance函数是实现盗窃的关键。通过调用此函数，UniCats合约即可作为调用者，能够向任意合约发起任意调用。

据上图所示，调用该方法可输入两个参数?,即一个地址类型的“_governance”和一个bytes类型的“_setData”。而函数的governance.call(_setupData)其实是表示向参数“_governance”地址发起一笔交易，其calldata为参数“_setData”。如此一来，只要有权限调用这个方法，便可以借合约的身份发起任意交易。

在进行代码编写时，其注释表示此函数是一个修改治理合约的函数，如下图所示：

事实上，根据成都链安的审计经验，修改治理合约通常并不需要调用call。而且，UniCats在对用户资产进行盗窃时，还刻意多次变换owner地址，如下图所示：

不仅如此，资产在转出后还立刻被流入混淆器，如下图所示：

如此操作，老练狠辣、一气呵成，因此基本可以断定，该项目就是一个彻头彻尾的局，为的就是钓鱼而上线。

令人细思极恐的是，在本案例中盗窃者调用了transferFrom方法对用户的资产实施转账，这就使得即便存在于钱包的用户资产，也可能面临被盗的风险。由于在合约授权时发起的是无额度限制授权，因此，一旦授权许可通过，合约就有权转移用户所有的资产。

成都链安郑重提醒，用户在进行合约授权时，使用多少，授权多少。这样操作的话，即便不幸遭遇类似欺诈性质的合约，也不会殃及钱包中的本金。如果用户不太清楚自己的授权情况，可以通过以下工具进行查询。

1、https://approved.zone

2、https://revoke.cash

3、https://tac.dappstar.io/#/

小结

于DeFi领域，用户获得新币的门槛大大降低，通过组合资产投资的确可能在短期内实现大规模的增值收益。但是，用户资产可能面临的风险状况就变得更为复杂，在这点上必须引起高度注意。

在DeFi这个“黑暗森林”，大胆冒险是禁忌一般的行为。用户资产不仅要受到客观行情波动的影响，质押时是否遭受“清算”也无法预知，而合约中的人为陷阱更是无处不在。

尤其是，不少DeFi项目都存在代理转账的逻辑，多数项目方也会直接要求用户授权最大值。也就是说，用户授权后，某些不良合约将利用留“后门”的手段，反噬用户所持的全部资产。

因此，对于用户而言，来自合约的一切许可请求都要格外注意，宁理性退场，不冒然入坑，时刻警惕恶意项目方的此类“后门”陷阱。

标签：UNINICATSICAAmmunitionelectronicmediasats币圈Gamblica

MEXC热门资讯