CER:CertiK：避免项目方欺诈的10条硬核准则

作者：

时间：1900/1/1 0:00:00

春困秋乏夏打盹，睡不醒的冬三月。自打重新设置了工作日闹钟，小伙伴们的心情想必都像自家猪丢了一样。2月18日，A股市场迎来牛年首个交易日。紧接着，“基金”猝不及防登上热搜。说好的开门红呢？就这？

然而近日，手机推送立即再次带来一记猛击。“比特币大跌”登上新浪微博热搜第4名。

DeFi衍生品项目Tracer DAO将过渡至Mycelium，并将在Arbitrum上推出永续掉期产品:8月11日消息，去中心化衍生品项目Tracer DAO表示，从Tracer DAO过渡到Mycelium的关键提案已由DAO达成一致，本月将在Arbitrum上推出首个产品，即永续掉期产品Mycelium Perpetual Swaps。另外，所有现有的TCR持有者都有权以1:1的比例将其代币更改为新的MYC代币。

Tracer DAO表示，Mycelium Perpetual Swaps将与原油的Perpetual Pools（永续资金池）共存。自2019年以来，Mycelium一直通过Mycelium Node提供数据，并在区块链上构建衍生品基础设施。2021年2月10日，Tracer DAO接受了Mycelium要成为DAO的核心服务提供者和贡献者的提议。[2022/8/11 12:19:04]

K线震荡，万点回调。

CertiK：加密项目DMC发生Rug Pull，代币价格下跌94%:6月25日消息，CertiK 监测显示，加密项目 DMC 发生 Rug Pull，代币价格下跌 94%，部署者在 17 天前铸造了代币，将它们送到另一个钱包，然后出售。[2022/6/25 1:31:13]

正摩拳擦掌的币圈投资人们当场傻眼。

Aave社区发起“初始资金库策略”提案，建议部署Reserve Factor在Balancer V2上获得BAL奖励:9月18日消息，DAO资金库聚合平台Llama在Aave社区发起新提案“初始资金库策略”，建议部署Reserve Factor (RF)通过在Balancer V2上获得BAL奖励以赚取额外收益。这个策略有两个目标：使用资金库中的aToken赚取额外收益；通过与Aave交互的协议积累治理影响。Llama提议将RF中持有的一部分aToken存入Balancer V2池中以获得BAL奖励。另一种策略是使用Ecosystem Reserve中的AAVE（价值8.21亿美元）作为抵押品，以便借入稳定币来为产生收益的策略提供资金。此外，Balancer V2 LP代币有可能被集成到Aave的AMM平台中。[2021/9/19 23:35:54]

本以为有马斯克、比尔·盖茨强势带货在前，行情一片大好，却不想现实总让人猝不及防。新的一年，如何判定一个项目究竟是你咸鱼翻身的大财神，还是设好陷阱的巨坑？造成行情震荡的原因多重且复杂，这样的震荡尚且在“韭菜们”的接受范围之内。而那些由安全攻击事件导致的一跌到底行情，才使得大部分“韭菜们”作为受害者的同时，真正失去了重启的希望。

mStable：mUSD已被列入Balancer Labs白名单:稳定币聚合协议mStable发推称，mUSD已被列入Balancer Labs白名单，现在有资格获得BAL奖励。

此前消息，mStable发文介绍其协议代币Meta（MTA），MTA主要有三个功能：1. 作为再担保（保险）的最终来源；2. 协调mStable的去中心化治理；3. 激励mStable的资产流动性、效用和社区治理。目前仅功能3可用，功能1和功能2将在协议第二阶段启用。首个MTA生态系统奖励池已在Balancer上运行，通过向Balancer的mUSD/USDC流动池做贡献，每周可获得50000 MTA的份额，以及向该流动池支付的所有BAL奖励。[2020/6/28]

动态 | Cere Network完成350万美元的种子融资:据CoinDesk消息，基于区块链的客户关系管理初创公司(CRM) Cere Network刚刚完成了一轮350万美元的种子融资。在Binance Labs、Neo Global Capital和Arrington XRP Capital等众多公司的支持下，Cere Network在纽约开设了办事处，并将于柏林区块链周期间宣布在柏林设立创新实验室。[2019/8/20]

在区块链上链项目井喷的2020年，除却黑客的“辛勤耕耘”外，巨坑也离不开项目方欺诈的“倾情奉献”。项目方欺诈——简而言之就是项目方设计一个项目，而这个项目其中已被设置有利于项目方的漏洞，一旦吸引到韭菜们，项目方就将开启一顿疯狂乱割。CertiK安全技术团队将为你带来并分析避免项目方欺诈的10条硬核准则。

CertiK将详细分析以上十条硬核准则，助你鉴别潜在的项目方欺诈项目，极大减少遭受项目方欺诈的几率。首先，我们可以先回顾一下过往的此类型事件。发生在近期，且数额最大的典型事件非Compounder.Finance莫属。Compounder攻击事件回顾

北京时间12月1日下午3点，CertiK安全技术团队通过Skynet发现Compounder.Finance项目位于0x0b283b107f70d23250f882fbfe7216c38abbd7ca地址处智能合约发生数笔大量代币的交易。经过技术人员研究，发现这些交易是Compounder.Finance项目拥有者内部操作，将大量数额代币转移到自己的账户中。经过统计，最终共损失价值约8000万人民币的代币。详情链接：https://www.jinse.com/news/blockchain/931157.html

在当前DeFi市场火热的背景下，潜藏着各式各样的安全漏洞以及隐患，其中项目方欺诈可以算是技术含量最低，门槛最低的一类攻击方式。学习如何防范项目方欺诈攻击的方法并不需要像了解其他那些复杂的基于数学模型的攻击方法那般耗费心力。DarkMatter项目分析

首先，根据项目发布者的历史交易记录来判断项目发布者是否有恶意欺诈历史，是判断新发布项目是否存在欺诈风险的重要依据。下面以DarkMatter$DARKM项目为例，详细分析——如何查看项目发布者是否有恶意欺诈历史。DarkMatter项目是一个基于ERC20的发币项目，代码中项目方拥有绝对权限，可以任意将任意数目的代币发送到项目方拥有的地址中。因此是一个非常明显的项目方欺诈项目。

项目方可以将任意数目代币发送到任意地址中查看项目发布者是否有恶意欺诈历史需要根据区块链上历史进行查询。区块链的优势之一是任意交易历史都是公开、可溯源的。利用此特点，首先可以依靠DarkMatter项目的区块链地址，查询项目的发布者地址。本文以Etherscan工具进行介绍，查询结果如下图中右下角所示，0x71323c开头的地址即为DarkMatter项目发布者地址。

第二步，对已知项目发布者地址进行查询。目标是查询该地址发布的所有交易历史记录的哈希值。通过查询，DarkMatter项目发布者地址所有交易历史记录如下图所示：

区块链用户的交易历史记录中包括所有的从该账户地址发起与被该账户接收的交易。每一条交易都有不同的目的和逻辑。为了查询项目发布者是否有恶意欺诈历史，需要从该账户所有的交易历史记录中查询是否存在创建以恶意欺诈为目标的智能合约的交易。通过查询可以发现该项目方除DarkMatter项目智能合约之外，还创建了另外两个智能合约，它们的地址为：1.0x852B1106ce359ED128451dC753EA4c3289eefadD2.0xAdEeE1bcb63F3477c45400249E78Bc4f565A59e0根据准则第一条，项目发布者是否有恶意欺诈历史，这两个智能合约也存在极大的欺诈风险。经过对这两个智能合约的源代码验证情况以及源代码进行分析，第2个地址0xAdEeE1bcb63F3477c45400249E78Bc4f565A59e0是名为Rift项目的智能合约地址，并且该项目源代码中存在与DarkMatter完全一致的安全漏洞。