内容来自“大橙子&小同的干货铺”的知识星球，作者康纳Repeat。
1. AdminUpgradeabilityProxy天然的负面影响一代理的逻辑合约可以被替换
2.AdminUpgradeabilityProxy权限没有移交timelock一项目方不受时间锁约束，可以随意使用1。所说的能力，替换逻辑合约最终项目方无限制地将正常合约替换成了攻击合约，卷款跑路。
Beosin：BSC链上的gala.games项目遭受攻击事件简析:金色财经报道，根据区块链安全审计公司Beosin旗下Beosin EagleEye 安全风险监控、预警与阻断平台监测显示，BSC链上的gala.games项目遭受攻击，Beosin分析发现由于pNetwork项目的bridge配置错误导致pTokens（GALA） 代币增发，累计增发55,628,400,000枚pTokens（GALA），攻击者已经把部分pTokens(GALA) 兑换成12,976个BNB，攻击者（0x6891A233Bca9E72A078bCB71ba02aD482A44e8C1）累计获利约434万美元。Beosin Trace追踪发现被盗金额还存在攻击者地址中。
第一笔攻击交易：0x4b239b0a92b8375ca293e0fde9386cbe6bbeb2f04bc23e7c80147308b9515c2e
第二笔攻击交易：0x439aa6f526184291a0d3bd3d52fccd459ec3ea0a8c1d5bf001888ef670fe616d[2022/11/4 12:17:00]
1.项目方故意“坦诚”给出合约的timelock转移权限记录，展示的确执行了changeAdmin方法移交权限给timelock 地址，用于混淆视听
安全团队：Audius项目恶意提案攻击简析，攻击者总共获利约108W美元:7月24日消息，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，Audius项目遭受恶意提案攻击。成都链安安全团队简析如下：攻击者先部署恶意合约并在Audius: Community Treasury 合约中调用initialize将自己设置为治理合约的监护地址，随后攻击者调用ProposalSubmitted 提交恶意85号提案并被通过，该提案允许向攻击合约转账1,856w个AudiusToken，随后攻击者将获得的AudiusToken兑换为ETH，总共获利约108W美元，目前获利资金仍然存放于攻击者地址上（0xa0c7BD318D69424603CBf91e9969870F21B8ab4c）。[2022/7/24 2:34:31]
2.0x7E0c621Ea9F7aFD5b86A50B0942eAee68B04A61C proxy 合约，changeAdmin方法内部调用追踪到304行，实际写入key为ADMIN_ SLOT， 但读取key却为ADMIN_ SLOT。即O (欧)和0 (零)的一个细微差异，让changeAdmin方法完全失效，从而达到了已经移交权限的假象
慢雾：DEUS Finance 二次被黑简析:据慢雾区情报，DEUS Finance DAO在4月28日遭受闪电贷攻击，慢雾安全团队以简讯的形式将攻击原理分享如下:
1.攻击者在攻击之前先往DeiLenderSolidex抵押了SolidexsAMM-USDC/DEI的LP。
2.在几个小时后攻击者先从多个池子闪电贷借出143200000USDC。
3.随后攻击者使用借来的USDC在BaseV1Pair进行了swap操作，兑换出了9547716.9个的DEI，由于DeiLenderSolidex中的getOnChainPrice函数是直接获取DEI-USDC交易对的代币余额进行LP价格计算。因此在此次Swap操作中将拉高getOnChainPrice函数获取的LP价格。
4.在进行Swap操作后，攻击者在DeiLenderSolidex合约中通过borrow函数进行借贷，由于borrow函数中用isSolvent进行借贷检查，而在isSolvent是使用了getOnChainPrice函数参与检查。但在步骤3中getOnChainPrice的结果已经被拉高了。导致攻击者超额借出更多的DEI。
5.最后着攻击者在把用借贷出来DEI兑换成USDC归还从几个池子借出来的USDC，获利离场。
针对该事件，慢雾安全团队给出以下防范建议：本次攻击的原因主要在于使用了不安全的预言机来计算LP价格，慢雾安全团队建议可以参考Alpha Finance关于获取公平LP价格的方法。[2022/4/28 2:37:18]
1.高度警惕任何包含proxy 方式合约的项目，若未经timelock约束，合约有被瞬间替换的风险
2. never trust， always verify！ 不要相信项目方给出的timelock“证据”， 对于未经审计的fork项目，务必逐个contract做好与原项目的diff (如果你做到了，就可以躲过meerkat的障眼法)
3.基于1更要养成良好的approve 管理意识，meerkat在跑路后仍然通过无限授权，盗取用户钱包内资产，穷凶极恶。切勿麻痹大意，你永远不知道你曾经授权过的土矿，是否包含proxy模式，是否已经替换了恶意合约！
4. timelock是安全底线，无论是HECO的LLC，还是BSC的popcornswap、meerkat，犯罪方式越发隐蔽的，但万变不离其宗，都是无timelock、假timelock。 珍爱生命，远离无锁土矿
昨天案发后几乎没有看到个人或团队有明确解析，考虑到未来模仿犯罪不可避免，索性公开信息希望做到安全教育的目的。老农务必提高自己的姿势水平，留意此类风险。最后祝大家挖矿出入平安。
标签：LOCKLOCIMETIMblockchain.pi翻译中文blockchain手机客户端Sentiment TokenTIMESERIES
头条▌成都发放4000万元数字人民币消费红包据天府市民云消息,成都“数字人民币红包迎新春”活动于2021年2月24日正式开启,此次活动将向个人发放总额4000万元数字人民币消费红包.
1900/1/1 0:00:00原文标题：《让数据说话,拥抱改革拆分银行才是正道：新型货币战争进入第二阶段 （四）》银行业转型一直是金融业的一个热门话题,2019年6月以后这个话题更热了.
1900/1/1 0:00:00当地时间3月5日,美国比特币矿业公司Cipher Mining Technologies Inc.和一家SPAC公司Good Works Acquisition Corp.共同宣布.
1900/1/1 0:00:001.Vitalik：为什么我不担心EIP-1559中的松弛区块容量对 EIP-1559 的一种批评是：区块大小是可变的,在 [0.
1900/1/1 0:00:00原标题：哪怕遭受攻击 DeFi协议也很快能“春风吹又生”？对于DeFi的发展,安全攻击风险始终是不能掉以轻心的。保守主义者因为这一点,始终不会倾注大量资产在DeFi的参与上.
1900/1/1 0:00:00Polkadot 网络有许多开发平行链的团队,每个团队都针对自己的领域进行了优化。这些平行链专门用于智能合约、身份识别、DeFi、机器人、桥等等.
1900/1/1 0:00:00
火星链