北京时间2022年4月21日下午3时15分，CertiK审计团队监测到ZEED项目被攻击，造成了104万美金的财产损失。被盗取资金被转移至一合约中，而该合约具有自我销毁功能，因此该操作无法逆转，资金无法被追回。
攻击步骤
①攻击者合约从HO-SWAPLP收到662枚YEED代币。
②这662枚YEED代币被发送到BSC-USD-YEED。由于收费机制的存在，一些收费代币也将被发送到3个LP对，分别是：BSC-HO-YEED2；BSC-USD-YEED2，BSC-ZEED-YEED2。
CertiK：5月份记录了35次重大攻击，总损失约为7330万美元:金色财经报道，据CertiK监测，5月份记录了35次重大攻击，总损失约为7330万美元。[2023/6/3 11:55:27]
③由于费用计算出错，一些YEED代币也将被错误地创建/发送到LP。
④从这一刻起，每个LP就处于不平衡状态。在每个LP合约中，都有着与其他代币相较过多的YEED代币。
⑤然后，攻击者将在每个LP上不断循环调用skim(to:LP)函数。该函数是为了重新调整LP内的两种代币的数量，将多余的代币发送到to参数。由于攻击者配置的目的地是LP本身，不平衡将不断增加，更多的奖励代币将被创建。
DeFi衍生品项目Tracer DAO将过渡至Mycelium，并将在Arbitrum上推出永续掉期产品:8月11日消息，去中心化衍生品项目Tracer DAO表示，从Tracer DAO过渡到Mycelium的关键提案已由DAO达成一致，本月将在Arbitrum上推出首个产品，即永续掉期产品Mycelium Perpetual Swaps。另外，所有现有的TCR持有者都有权以1:1的比例将其代币更改为新的MYC代币。
Tracer DAO表示，Mycelium Perpetual Swaps将与原油的Perpetual Pools（永续资金池）共存。自2019年以来，Mycelium一直通过Mycelium Node提供数据，并在区块链上构建衍生品基础设施。2021年2月10日，Tracer DAO接受了Mycelium要成为DAO的核心服务提供者和贡献者的提议。[2022/8/11 12:19:04]
每一次的转移都会：
Seaweed Finance：因审计机构Certik对Seaweed的二次审计，Dapp上线时间将推迟:据Seaweed Finance官方消息，为进一步确保Seaweed Dapp链上数据安全性，Seaweed 已邀请审计机构Certik，对其进行二次审计，目前审计流程已开启。
此前Seaweed已通过Armors关于solidity合约的审计。Seaweed CTO Coke表示，Dapp上线时间推迟的决定，是Seaweed开发团队在权衡未来用户交易资金安全性后做出的慎重决策，相信Seaweed社区广大用户会理解，并支持“Seaweed将维护用户交易资金安全进行到底”所采取的一切措施。Seaweed Dapp上线时间将于近期在其官网公示。
Seaweed Finance 是基于HECO链上的期权衍生品交易平台，通过利用BSM定价模型和AMM流动性池，Seaweed旨在为DeFi生态系统建立一个金融衍生平台。[2021/3/18 18:56:48]
从一种LP发送YEED代币到另外一种LP。
Bitget被知名安全评级机构CER收录:据官方消息，Bitget目前已被国际知名安全评级机构CER的收录上线。据悉，目前CER已开启交易所安全评比，该评比将从18个纬度进行全面测评，并于12天后结束，目前Bitget排名全球第八。
据介绍，CER作为知名收录平台CMC及Coingecko的合作伙伴，其测评结果也将作为CMC及Coingecko的收录标准。
Bitget始终把保障用户资产及交易安全放在首位，除了投入大量的安全风控资金，Bitget还是一家SSL安全指标12项全部达到A+的合约交易所。另据透露，Bitget即将上线客户资产验证工具，客户将可以第一时间验证自己资金的安全性。[2020/8/14]
向LP发送因错误产生的YEED代币奖励
通过以上方式，攻击者保持了LP内代币的不平衡，并且每次都会增加LP内YEED代币的数量。
比如，我们可以看到在BSC-ZEED-YEED2LP中，最初的YEED的数量是96个。
而当攻击者调用skim(to:attacker_contract)以后，LP中的YEED余额为368,560。
最后一次调用，则将368,560枚代币发送给了攻击者。
攻击者对3个不同的货币对进行处理，总数为87,479,473枚YEED代币：
83,127,354YEED来自BSC-USD-YEEDLP对。
3,983,869YEED来自BSC-HO-YEEDLP对。
368,560YEED来自BSC-ZEED-YEEDLP对。
⑥然后，攻击者进行多次互换，将其收益转换为BSC-USD。
漏洞分析
攻击者通过向LP对发送代币，破坏了YEED项目内LP代币的平衡。因此，任何人都可以调用skim()函数，从而把多余的代币发送给用户。
如果正确计算金额，则一切正常。然而，在最重要的发送奖励步骤中，发送给每个接收者的奖励是rewardFee。这意味着在此条件下，并不是奖励获得者理应获取了奖励费用x1，而是在N次转移过程中获得了奖励费用xN次。
比如，用户A向用户B发送了100个YEED，如果rewardFee是10。
用户B收到90奖励
LPBSC-USD-YEED2收到10奖励
LPBSC-ZEED-YEED2收到10奖励
LPBSC-HO-YEED2收到10奖励
这样以来，就有20枚代币被错误地凭空创建了。
而真正的YEED奖励机制应该运营如下：
50%的奖励费用发送到_balances(LPBSC-USD-YEED2)
25%的奖励费用发送到_balances。
25%的奖励费用发送到_balances(LPBSC-HO-YEED2)。
写在最后
此次事件造成了104万美金的损失。由于资金在合约中，而合约具有自我销毁功能，所以该操作无法复原，即任何人都无法再取出这笔财产，包括攻击者本身。通过审计，我们可以了解到发送到LP的代币将破坏LP的平衡，并且审计也能发现奖励计算机制的错误。
虽然黑客的技术经常成为头条新闻,但对加密公司的另一个更低调的威胁正潜伏在离家更近的地方。根据Verizon的一项调查,内部人员对大约22%的安全事件负责,而金融服务行业受到的影响最为严重.
1900/1/1 0:00:00“近日圈内FOMO情绪高涨的新算法稳定币项目Nirvana创建了一种新型的AMM机制,解决了算法稳定币在流动性上的问题,同时被其反复套娃机制,有庞氏的影子.
1900/1/1 0:00:00“波卡知识图谱”是我们针对波卡从零到一的入门级文章,我们尝试从波卡最基础的部分讲起,为大家提供全方位了解波卡的内容,当然这是一项巨大的工程,也充满了挑战.
1900/1/1 0:00:00萨尔瓦多总统：比特币火山债券将通过Bitfinex发行据路透社报道,萨尔瓦多正在寻求加密货币交易平台Binance的支持,以完善比特币作为法定货币并发行比特币债券.
1900/1/1 0:00:002022.3.7第108期本期关键字日本亿万富翁前泽友作接受加密支付；BitMEX创始人谨慎看多比特币；Coinbase暂时不会禁止俄罗斯人使用；DeFi漏洞被黑客盗3.
1900/1/1 0:00:00本周摘要：-LUNA崩塌背后原因是什么？惨剧发生后,它还有什么机会？-稳定币市场也受到了冲击。USDT经历“惊魂一跳”,它将如何脱锚？会像UST一样脆弱吗？-JZL正在与多个世界级公司合作,即将.
1900/1/1 0:00:00
木星链