YFV是基于以太坊的一个DeFi项目，今天早些时候，YFV官方发文称遭到勒索。攻击者利用staking的合约漏洞，可以任意重置用户锁定的YFV。
并表示，此次事件可能和不久前的“pool 0”事件相关，勒索者极有可能是在“pool 0”事件中未取回资金的“愤怒的农民”。?
合约存在一个stakeOnBehalf函数使得攻击者可以为任意用户进行抵押，如下图所示：
增强现实科技公司Nextech收购英国空间计算公司ARWAY Ltd，允许客户构建迷你元宇宙:10月24日消息，增强现实（AR）科技公司Nextech正在多个垂直领域开创多项AR技术，包括人体全息图、AR产品可视化、电子商务和广告以及增强包装解决方案等，最近宣布其收购了英国的空间计算公司ARWAY。ARway提供的技术允许用户构建迷你元宇宙。使用ARway 的 3D地图绘制技术，只需一部简单的智能手机，即可在几分钟内扫描商场、大学校园、主题公园、商店、公司总部等，可以在几分钟内创建空间3D地图，通过人体全息图、广告、产品等提供AR体验。[2021/10/24 6:10:02]
彭博社：比特币可能会成为新的GameStop:1月30日，彭博社发文《比特币价格：数据显示比特币可能会成为新的GameStop》。文章称，在马斯克在推特上对比特币表示默许后，比特币本周迎来飙升。由于Reddit的WallStreetBets论坛散户交易员和华尔街对冲基金之间的斗争达到高潮，监管机构试图限制交易安抚疯狂的市场，马斯克随之推高了比特币价格。即使散户交易员纷纷涌入比特币和其他加密货币，而现在数据显示，对冲基金做空比特币的金额仍超过10亿美元。加密分析公司the Block的数据显示，自10月份比特币价格开始攀升以来，对冲基金一直在增加比特币空头头寸。与此同时，美国商品期货交易委员会(CFTC)最新的《金融期货交易者》报告也指出，比特币期货的净空头头寸目前已创历史新高。对冲基金持续做空比特币，在某种程度上是在回补其多头头寸，而受股票交易限制的影响，散户开始转向投机比特币和其他资产。此外，加拿大皇家银行财富管理投资策略主管Frédérique Carrier表示，有名事件引发轰动效应也在影响着投资者的态度。最后，比特币和加密货币社区中的许多人正在鼓励零售交易者转向加密货币。[2021/1/30 18:29:03]
此函数中的 lastStakeTimes[stakeFor] = block.timestamp; 语句会更新用户地址映射的laseStakeTimes[user]。而用户取出抵押所用的函数中又存在验证，要求用户取出时间必须大于lastStakeTimes[account]+72小时。如下图所示：
UnfrozenStakeTime如下图所示：
综上所述，恶意用户可以向正常用户抵押小额的资金，从而锁定正常用户的资金。
根据链上信息，我们找到了两笔疑似攻击的交易，如下所示：
0xf8e155b3cb70c91c70963daaaf5041dee40877b3ce80e0cbd3abfc267da03fc9
0x8ae5e5b4f5a026bc27685f2b8cbf94e9e2c572f4905fcff1e263df24252965db
其中一笔如下图所示：
此两笔交易都来自同一地址，且均为极小值。由此我们可以基本判定这是一个测试锁死问题的交易。
针对于本次事件，究其根本原因，还是没有做好上线前的代码审计工作。本次事件实际上是属于业务层面上的漏洞。
根据成都链安在代码审计方面的经验，个别项目方在进行代码审计时，未提供完整的项目相关资料，使得代码审计无法发现一些业务漏洞，导致上线后损失惨重。
成都链安·安全实验室在此提醒各项目方：安全是发展的基石，做好代码审计是上线的前提条件。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。