前言
据链闻消息，DeFi项目YFValue发布公告称，团队于昨日在YFV质押池中发现一个漏洞，恶意参与者借此漏洞对质押中的YFV计时器单独重置。目前已有一个恶意参与者正试图借此勒索团队。慢雾安全团队对此进行了深入分析，以下是相关技术细节。
细节分析
分析了一大堆，回到我们最初的问题，恶意的用户是怎么锁定其他用户的资产的呢？
回到用户抵押的逻辑，可以发现抵押逻辑中的stakeOnBehalf函数本意是帮助进行抵押，但是这里有个问题，如果这个用户先前已经有抵押了呢？那通过对已经抵押的用户再次进行抵押，比方说抵押1个YFV，是不是就能以极低的成本重置已抵押的用户的计时器，导致用户在withdraw时无法成功调用。更进一步，假设YFV抵押用户已经成功调用了stakeReward函数，在快要达到unfrozenStakeTime所规定的时间时，恶意的用户可以通过stakeOnBehalf函数给这个用户抵押少量资产，即可再次对抵押奖励进行锁定，理论上这样往复循环，即可使用户无法取出自己的资产，但这个问题并不会导致资金损失。攻击流程如下：
前车之鉴
这是本月出现的第二个没有经过审计的DeFi项目所暴露出的风险，根据YFValue的官方声明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，项目代码是由富有经验的开发者进行开发的，同时借鉴了其他成功的项目的代码，但是仍无可避免的出现了风险。术业有专攻，安全审计一方面需要项目方的正向思维，另一方面，还是需要专业的安全团队的逆向思维，从专业的黑客角度进行模拟对抗，发现问题。
修复方案
通过分析代码和漏洞细节，针对本次漏洞，修复方案也很简单，只要在抵押的时候检查用户的抵押状态是否为已经抵押，如果已经抵押，则不允许再次抵押。或者对每次的抵押进行单独的处理，不能对先前的抵押状态产生影响。
标签：STASTAKSTAKEUNTINSTA币Diversified Staked Ethereum Indexstake币局UNTD
原文：https://m.huxiu.com/article/378963.html?f=app_ios_friends 建设银行APP可以创建“数字人民币钱包”了！8月29日.
1900/1/1 0:00:00最近加密市场的下跌推动了中心化交易所的交易量增加,但P2P交易平台的交易量实际上急剧下降。拉丁美洲是唯一逆势发展的地区.
1900/1/1 0:00:008月23日,共享新机遇——2020全球区块链算力大会暨新基建矿业峰会进入第二日议程。大会由成都市新经济委、成都市科技局及成都市成华区人民政府指导,由成都市成华区新经济和科技局、成都市成华区投促局.
1900/1/1 0:00:00我们每天都在使用互联网,但是否想过,它是如何实现的？区块链与互联网就像是一组镜像关系,有很强的对比性,但从逻辑上来讲,互联网实现的是信息传输,而区块链打造的是价值链接.
1900/1/1 0:00:00文?|Nancy?编辑|毕彤彤出品|PANewsDeFi当道,Uniswap“DEX大赢家”的宝座还没有暖热乎,市场上便来了一群以Sushiswap为代表的“不速之客”.
1900/1/1 0:00:00中国工程院院士倪光南说,仅“十四五”期间,新基建能够直接、间接带动的投资规模就高达30万亿元。面对数十万亿级市场,矿业如何抓住这一时代机遇？8月22日,在“2020全球区块链算力大会暨新基建矿业.
1900/1/1 0:00:00
木星链
publicupdateReward(msg</p>
<p> 分析 | BTC OTC日均交易量趋冷，新增人气低迷:据TokenInsight数据显示，反映区块链行业整体表现的TI指数北京时间11月13日8时报664.12点，较昨日同期上涨3.7点，涨幅为0.56%。此外，在TokenInsight密切关注的25个细分行业中，24小时内涨幅最高的为其它商务与租赁行业，涨幅为7.89%；24小时内跌幅最高的为内容服务行业，跌幅为1.75%。 </p>
<p> 据监测显示，BTC 24h交易额为$200亿，活跃地址数较前日下降5.76%，转账数较前日上升5.05%。Coinwalle分析师Jeffrey认为，BTC OTC日均交易量趋冷，新增人气低迷，短期或将延续调整。 </p>
<p> 另据Bituniverse智能AI量化分析，今日行情可开启LTC/USDT网格交易，区间56.03-69.09USDT，高抛低吸，赚取收益。注：以上内容仅供参考，不构成投资建议。[2019/11/13]</p>
<p> 通过分析计算收益和领取收益的代码，发现逻辑也很简单，stake函数首先是通过updateReward修饰器更新了用户的奖励，然后使用getReward函数计算了用户的奖励，并把抵押时间设置成当前区块时间。最后，用户在提取奖励的时候，withdraw函数会首先计算当前的区块时间，再与unfrozenStakeTime函数中计算出的时间进行对比，只有当前区块时间大于unfrozenStakeTime计算出的时间，才允许提现。unfrozenStakeTime的代码如下：</p>
<p> 金色财经独家分析 区块链部分改变生产关系:前华为首席技术官、美国分布式商业应用公司CEO黄连金近访谈类节目中指出区块链不仅是生产关系生产力的属性，让人们更全面地认识区块链对于经济的改变。金色财经独家分析，其实人们一般所认为区块链对于生产关系的改变也是部分的，是一种优化。生产关系是经济中的社会关系，不仅包括人在经济中的地位和相互关系，还包括生产所有制形式和其所决定的分配形式。这其中所有制形式是根本的。我们知道区块链可能会消除许多中间环节，削弱中心的力量，是人们更加平均，公司制、股份制也许今后将被区块链所构建的社区所代替，然而这一切更多的是在人与人之间经济地位和相互关系上的改进优化，考虑到影响所有制涉更加深层次的因素，区块链更多的知识在生产力、生产关系上进行优化。那么，如何才能改变生产关系，如消除资本主义私有制，要看区块链在生产力方面能发挥多大的能量，毕竟，生产力可以决定生产关系。[2018/4/16]</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 从代码中得知，unfrozenStakeTime是使用用户的上次抵押时间加上FROZEN_STAKING_TIME常量得出锁定时间，只要超过时间，就能通过withdraw函数提现收益。整个抵押和领取收益的简化流程如下：</p>
<p> <img alt=)