9月12日，知道创宇区块链安全实验室监测到Avalanche上的DeFi协议?ZabuFinance项目遭受闪电贷攻击。实验室第一时间跟踪本次事件并分析。
攻击合约
攻击合约1：
0x0e65Fb2c02C72E9a2e32Cc42837df7E46219F400
攻击合约2：
0x5c9AD7b877F06e751Ee006A3F27546757BBE53Dd
漏洞合约
ZABUFarm：
0xf61b4f980a1f34b55bbf3b2ef28213efcc6248c4
街头艺术家Szabotage将在Quidd推出NFT系列Stencil Tongue:7月7日消息，街头艺术家Szabotage将在Animoca Brands旗下NFT市场Quidd上推出数字艺术藏品系列Stencil Tongue。获得该系列的收藏家将通过解锁的随机两组NFT组合出不同的内容。Stencil Tongue系列计划于2022年7月27日上线Quidd。[2022/7/7 1:57:15]
SPORE：
0x6e7f5c0b9f4432716bdd0a77a3601291b9d9e985
漏洞成因分析
声音 | Nick Szabo：中央银行可能会将数字货币作为储备金:BitGold创始人Nick Szabo近日在以色列比特币峰会上发表讲话称，2019年，在全球地缘不确定性日益加剧的背景下，加密货币可能越来越被视为现有央行储备金额的合理替代品，在某些情况下，中央银行不能信任外国央行或政府债券。现有的解决方案是由瑞士政府提供，但这不是信任成本最小化的解决方案。瑞士政府本身受到压力，因此更加信任成本最小化的解决方案是加密货币。[2019/1/9]
漏洞产生原因在于Defi协议与代币协议之间的不兼容，其不兼容主要是zabuFarm合约质押功能与spore合约转账功能出现冲突，下面从双方功能实现逻辑来分析冲突。
康奈尔大学教授和Nick Szabo批评EOS的缺陷和中心化:据CNN消息，著名的加密货币专家、康奈尔大学教授Sirer指出，EOS的情况“将会变得更糟”，并强调EOS提出的漏洞奖励系统在使用协议查找概念或结构错误时是不实际的。Sirer强调称，“EOS漏洞奖励系统设计只是为了筛查简单的编码错误，而不是协议中的概念错误。”在EOS备受争议的主网上线后，密码学家Nick Szabo也表示，EOS的集中化使得系统容易受到攻击，并存有各种安全漏洞。[2018/6/24]
zabuFarm合约质押功能
zabuFarm合约质押功能由函数deposit实现
简述deposit函数实现逻辑：
1.由传参_pid获取对应矿池信息与用户信息
2.更新_pid对应矿池信息，当用户账户不为0向用户发送质押已产生奖励
3.将传参_amount数量的代币从函数调用者转移到该合约
4.更新用户添加的代币以及最新奖励状态5.触发质押事件。
spore合约转账功能
spore合约转账功能由函数_transferStandard实现(ps:_transferStandard函数是zabuFarm合约质押功能转账时调用的函数)
简述_transferStandard函数实现逻辑：
1.由传参tAmount通过_getValues函数获取五个值，分别是rAmount实际转账数量,rTransferAmount收费后转账数量,rFee实际费用,tTransferAmount初始转账数量,tFee初始费用
2.对相应账户进行实际转账代币数量更新
3.通过_reflectFee函数进行费用记录更新
由此我们可以发现?zabuFarm合约质押功能与spore合约转账功能出现冲突的本质在于deposit函数仅是对用户传入转账金额_amount?做用户账户更新记录，而不是对_transferStandard?函数在收取费用后实际转账做用户账户更新记录，导致实际收款小于账户记录，俗称亏本买卖。
简述攻击过程
1.利用攻击合约10x0e65，将WAVAX代币通过Pangolin置换成SPORE代币，并质押到ZABUFarm合约中；
2.通过攻击合约2?0x5c9A从Pangolin闪电贷借出SPORE代币，并利用SPORE代币不断在ZABUFarm?合约进行质押-提现的操作，消耗原本属于ZABUFarm合约的SPORE代币，由于ZABUFarm合约是通过SPORE?代币总量计算奖励，攻击合约10x0e65会获得巨额ZABU代币奖励；
3.最后取出质押SPORE代币，归还闪电贷，抛售ZABU代币获利。
总结
此次攻击属于defi协议与代币协议之间不兼容导致的，迄今为止此类攻击事件已发生数次，知道创宇区块链安全实验室再次提醒，近期各链上频频爆发攻击事件，合约安全愈发需要得到迫切重视，合约审计、风控措施、应急计划等都有必要切实落实。
RAY3L为RAY多倍做多ETF产品,RAY3S为RAY多倍做空ETF产品,涨跌幅为RAY市场的多倍.
1900/1/1 0:00:00亲爱的CoinW用户：币赢CoinW将于2021年9月16日21:00在创新区开展FTM/USDT交易对.
1900/1/1 0:00:00尊敬的XT用户：XT即将上线BTRST,并在创新区开放BTRST/USDT交易对,详情如下：充值时间：已开交易时间：2021年9月16日19:00提现时间：待定“在Braintrust网络中的所.
1900/1/1 0:00:009月18日消息,中国人民银行发布《2021年人民币国际化报告,报告指出,下一阶段,人民银行将进一步完善人民币跨境使用的政策支持体系和基础设施安排,推动金融市场双向开放,发展离岸人民币市场.
1900/1/1 0:00:001.前言拒绝服务(DoS)：DoS是DenialofService的简称,即拒绝服务,任何对服务的干涉,使得其可用性降低或者失去可用性均称为拒绝服务.
1900/1/1 0:00:00尊敬的EXX用户：????您好!根据市场的情况及用户的建议,EXX将于香港时间2021年5月10日15:00上线开放SHIB/USDT、SHIB/ETH交易市场,用户可提前准备.
1900/1/1 0:00:00
木星链