木星链 木星链
Ctrl+D收藏木星链
首页 > 中币 > 正文

SWAP:慢雾提醒:警惕 Filecoin RBF 假充值攻击

作者:

时间:1900/1/1 0:00:00

链闻消息,针对Filecoin出现「双花交易」和多家交易所关闭FIL充值通道一事,慢雾安全团队对相关信息分析发现,这是一起Filecoin的RBF假充值攻击事件而非「双花交易」。攻击者预先发送一笔低gas-feecap的交易,然后通过提高gas-premium和gas-feecap替换原交易,此时RBF交易优先被打包上链,旧交易被丢弃,但是由于FilecoinlotusRPC有一个特性,在查询旧交易的执行状态时返回的是RBF交易的执行状态,导致交易所对两笔交易重复入账。慢雾安全团队提醒交易所及相关钱包方,在充值入账时,需要对比查询返回结果中的cid与查询的cid是否一致,并配合ChainGetParentMessages和ChainGetParentReceipts等接口进行查询对比,避免重复入账。与此前慢雾区发现的假充值攻击不同的是,此次攻击方法更加隐蔽,是由于Filecoin节点特性所引起,交易所及相关钱包方应再次检查充值入账程序,除了RBF外,还有常规的To、Value、转账类型Method,以及执行结果ExitCode等字段的校验,必要时可请安全审计公司协助检测。

慢雾:BSC项目Value DeFi vSwap 模块被黑简析:据慢雾区情报,币安智能链项目 Value DeFi 的 vSwap 模块被黑,慢雾安全团队第一时间介入分析,并将结果以简讯的形式分享,供大家参考:

1. 攻击者首先使用 0.05 枚 WBNB 通过 vSwap 合约兑换出 vBSWAP 代币;

2. 攻击者在兑换的同时也进行闪电贷操作,因此 vSwap 合约会将兑换的 vBSWAP 代币与闪电贷借出的 WBNB 转给攻击者;

3. 而在完成整个兑换流程并更新池子中代币数量前,会根据池子的 tokenWeight0 参数是否为 50 来选择不同的算法来检查池子中的代币数量是否符合预期;

4. 由于 vSwap 合约的 tokenWeight0 参数设置为 70,因此将会采用第二种算法对池子中的代币数量进行检查;

5. 而漏洞的关键点就在于采用第二种算法进行检查时,可以通过特殊构造的数据来使检查通过;

6. 第二种算法是通过调用 formula 合约的 ensureConstantValue 函数并传入池子中缓存的代币数量与实时的代币数量进行检查的;

7. 在通过对此算法进行具体分析调试后我们可以发现,在使用 WBNB 兑换最小单位(即 0.000000000000000001) vBSWAP 时,池子中缓存的 WBNB 值与实时的值之间允许有一个巨大的波动范围,在此范围内此算法检查都将通过;

8. 因此攻击者可以转入 WBNB 进行最小单位的 vBSWAP 代币兑换的同时,将池子中的大量 WBNB 代币通过闪电贷的方式借出,由于算法问题,在不归还闪电贷的情况下仍可以通过 vSwap 的检查;

9. 攻击者只需要在所有的 vSwap 池子中,不断的重复此过程,即可将池子中的流动性盗走完成获利。详情见原文链接。[2021/5/8 21:37:37]

声音 | 慢雾科技余弦:安全是这个加密货币领域生态的关键基础设施之一:慢雾科技联合创始人余弦在微博上称,加密货币领域的大小会议,常见的一个话题是“如何看待未来或未来应该看什么”,除了价值提升、应用落地这些大话题及拆分出来的一堆小话题,安全很少被特别展开提及,我想表达的是:未来,攻防对抗会持续加剧(不会减弱),安全是这个生态的关键基础设施之一,在这个基础设施之上,安全衍生品可以创造更大价值,到用户层面安全尽量做到很有安全感且自然而然的无感。[2019/10/8]

声音 | 慢雾:Dapp、交易所等攻击事件造成损失已近41亿美金:慢雾数据显示Dapp、交易所等攻击事件造成的损失已达4098587697.68美金,半月增加近3亿美金。据2月28日报道,慢雾区上线“被黑档案库(SlowMist Hacked)”,目前各类攻击事件共造成约 3824082630.12 美金的损失。[2019/3/13]

标签:SWAPVSWWBNBBNBBurger SwapVSW价格wbnb是局吗togetherbnb游戏哪里恐怖呀

中币热门资讯
NFT:获Winklevoss兄弟收购的NFT平台Nifty Gateway价值已高达12亿美元

2020年底开始,NFT领域逐步获得关注并迎来迅猛增长。目前NFT发展已经涵盖了综合交易平台、加密艺术平台、潮玩收藏、游戏、虚拟世界、域名、社交、NFTDeFi、项目启动平台等领域.

1900/1/1 0:00:00
AEX:DeFi新矿上线:HELMET、SXP、UST、XVS,年利率最高38%

亲爱的AEX小伙伴:为提供更多理财投资选择,AEX安银理财持续上新中!安银DeFi矿池于2021年3月19日上线新矿:HELMET、SXP、UST、XVS.

1900/1/1 0:00:00
ING:关于Bingbon内部转账免手续费的说明

尊敬的用户:为向广大Bingbon用户提供更好的服务,Bingbon将于2021年3月19日16:00起实行Bingbon“内部转账”免手续费规则.

1900/1/1 0:00:00
区块链:首发 | 强监管环境下对比特币的影响

本文作者为?NewBloc?策略分析师?Barry,5?年外汇黄金市场交易经历。耶伦在2月份曾表示:“在非常低的利率环境下,评估债务的传统指标,如债务与GDP的比率100%的警戒线就没有那么重要.

1900/1/1 0:00:00
GAT:Gate.io 上线 BounceAuction(AUCTION) 杠杆交易和币币理财服务

Gate.io一直秉承真实,透明的理念,不造假数据,不干预市场交易,为用户提供真实自由的市场工具和稳定健康的市场服务。杠杆交易提供做多和做空机制,可以有效稳定市场到合理价值.

1900/1/1 0:00:00
BIKI:关于BiKi开合约,拿社群福利的活动公告(0319)

尊敬的用户:BiKi合约开启“BiKi开合约,拿社群福利”的活动。用户每天社群晒单拿福利,挑战交易量之王夺大奖.

1900/1/1 0:00:00