2020年6月30日下午5:46，Beosin-OSINT威胁情报系统发现
VETH智能合约
遭受攻击，被盗919299个VETH。成都链安·安全实验室第一时间对本次事件进行跟踪分析。
?
根据链上交易显示：
攻击者利用自建合约
通过Uniswap将0.9ETH兑换为138VETH，之后对VETH智能合约
发起攻击，在攻击完成后自建合约进行自我销毁。
本次攻击成本仅0.9ETH，约合200美元。交易
详情如下：
《富爸爸穷爸爸》作者：比特币将达到10万美元:金色财经报道，畅销书《富爸爸穷爸爸》作者Robert Kiyosaki在社交媒体上发文表示，“我为什么选择比特币？多年前，我看到比特币攀升至2万美元，然后跌至零，那时候我认为比特币完蛋了。但慢慢看着比特币飙升至6000美元，我买了很多。为什么？因为人们支持比特币，而不是美联储或拜登政府。比特币不需要他们的救助，因为比特币是人们的钱。比特币将达到10万美元。”[2023/4/21 14:18:39]
△图1
在盗币成功之后，攻击者将盗取的VETH通过Uniswap换成了16ETH。如下图所示：
Cardano联创称其有兴趣收购CoinDesk，且有能力支付2亿美元收购价:1月20日消息，Cardano联合创始人Charles Hoskinson表示正在考虑收购DCG旗下加密媒体CoinDesk，并将其改造成新闻和社区网站的混合体。Charles Hoskinson表示，CoinDesk约2亿美元的定价有点高，但如果他真的愿意购买，他可以负担起这个价格。不过他表示还未看到CoinDesk的财务状况。
金色财经此前报道，CoinDesk CEO表示，公司正寻求出售部分或全部股权，已收到多个买家收购意向。（彭博社）[2023/1/20 11:22:26]
△图2
?具体攻击流程如下：
1.攻击者创建攻击合约，通过Uniswap将0.9ETH兑换成138VETH；
ZachXBT：ankr开发者在上周末将1559 ETH转移到火币全球存款地址:金色财经报道，链上数据分析师ZachXBT在社交媒体上称，ankr开发者在上周末将ETH发送到一个地址，该地址在混合后显示了他们的地址，然后将1559 ETH转移到火币全球存款地址。有趣的是，Ankr将该漏洞归因于一名前雇员。看来这个账户并没有被Huobi冻结，而是被提取了资金，然后桥接到了BSC，目前在那里。[2023/1/4 9:50:13]
2.调用VETH合约changeExcluded函数，支付128VETH手续费，使mapAddress_Excluded的值为true；
3.调用transferFrom函数，因mapAddress_Excluded的值为true，可以直接进行转账；
CME比特币期货未平仓总量升至13505张:7月18日，据KingData数据监控，CFTC 7月6日至7月12日CME比特币期货持仓周报显示：
未平仓总量自13258张上升至13505张。
机构多头头寸8497张，空头头寸10626张，多空持仓比例1:1.3，机构多空力量均衡，整体偏向看空；
大户多头头寸2044张，空头头寸287张，多空持仓比例7.1:1，大户显著偏向看涨；
散户多头头寸1247张，空头头寸875张，多空持仓比例1.4:1，散户略微偏向看多。[2022/7/18 2:20:11]
4.攻击完成后，攻击者通过Uniswap将盗取的VETH兑换成16ETH。
漏洞原理分析
此漏洞产生的主要原因是changeExcluded函数修饰符为external，使得任何人都可以调用该函数来绕过transferFrom函数内部的授权转账额度检查，将合约的VETH代币盗走。
首先分析transferFrom函数，在函数内部先进行!mapAddress_Excluded的判断，按照正常逻辑，该结果为true后，将进行授权转账额度的检查。但是转账函数_transfer的调用放在if语句体外，这就导致攻击者可以通过将mapAddress_Excluded的值设置为true而绕过授权转账额度的检查，直接进行VETH代币转移。transferFrom函数源码如下图所示：
△图3
通过分析修改mapAddress_Excluded值的代码发现，在changeExcluded函数内实现了对其值的修改，且该函数修饰符为external，可供外部调用。changeExcluded函数源码如下图所示：
△图4
在未对该值进行设置时，mapAddress_Excluded的初始值为false，最后if判断结果为true，进入if语句体，调用_transfer进行转账，要求支付转账金额为：mapEra_Emission/16即128VETH，然后mapAddress_Excluded的值被设置为true。emission的值如下如所示：
△图5
总结
此次VETH被盗事件，漏洞出自VETH合约而非Uniswap，VETH合约代码的函数访问修饰符的错误使用导致任何人都能绕过授权转账额度的检查，以极低的成本发起攻击。
成都链安·安全实验室在此提醒：各大智能合约运营商，在合约正式部署上线前应做好充分的代码审计工作，即使是一些简单的代码错误也会财产损失。
6月26日晚8点30分之后,在杭州洲际酒店,亿邦国际创始人胡东宣布亿邦国际美股上市,这意味着,国内第四大矿机制造商亿邦国际正式登录纳斯达克.
1900/1/1 0:00:00摘要：加密货币做市商Wintermute在A轮融资中筹集了280万美元这轮融资由LightspeedVenturePartners领导.
1900/1/1 0:00:00本文来自?CoinGeek,原文作者：SteveKaaruOdaily星球日报译者|余顺遂澳大利亚证券交易所计划实施的区块链清算系统可能会推迟两年.
1900/1/1 0:00:00对币价的预测理论上来说是一门玄学,尤其对于一个主网没有上线的项目Filecoin来说。但是,对币价的预测却是每个投资者利益直接相关的东西,虽然难度很高,今天也来专门说一下这个话题.
1900/1/1 0:00:00作者：金色财经??TaylorW近日,三部门联合发布九大新职业引发热议,其中有两个职业均与近年来大热的区块链有关,分别为“区块链工程技术人员”和“区块链应用操作员”.
1900/1/1 0:00:00发布方：XBITRUST?&PaiclubCapital作者：苏文杰摘要：本文浅谈了盗取比特币的黑客技术,并在此基础上运用编程和一些工具对自有网站和主机进行了攻击实践.
1900/1/1 0:00:00
火星链