一句话对这个漏洞进行总结:合约中的漏洞是个典型的逻辑漏洞,漏洞主要在Pool合约中的mint方法中,在mint方法中调用calcMint方法计算了铸造xFTM时需要的最少FTM和最少FSM,而合约代码只对FSM进行了销毁,却没有考虑FTM的情况,导致即使用户不输入FTM,也能获得xFTM。
逻辑漏洞
Pool合约
mint
没有考虑FTM
以太坊以及EVM的诞生使得 Dapp这种新的业务形态成为可能。总的来说,EVM实现了一个全局的状态机,为所有的 Dapp提供了统一的状态空间;实现了图灵完备,并抽象出了账户模型,账户之间可以相...
Dapp
独乐乐,不如众乐乐。下面是我自己重现CREAM的第二次经典HACK的分析思路,以及POC。
MetaMask 浏览器扩展钱包 Clickjacking 漏洞分析
本文讨论了DeFi智能合约中的一种常见安全漏洞——双向舍入,解释了该漏洞如何导致交易者通过回合交易获利,介绍了避免这一漏洞的代码修复方法,并展示了sec3 Pro如何自动检测这类漏洞。通过实例分析,提供了对此问题的深刻见解和解决方案。
本系列文章从web3安全出发,持续跟进web3安全动态。本文是攻击者通过Discord软件,对用户进行钓鱼,诈骗等行为,点击原文查看具体攻击手法。
本系列文章从web3安全出发,持续跟进web3安全动态,本文是盗取数字资产的方式,看看你是否中招?
6 月 9 日,Optimism 与 Wintermute 双双发布公告,向社区披露了一起 2000 万 OP 代币丢失的事件。
2022年6月9日消息,据Optimism与加密货币做市商 Wintermute 透露,2000万个Optimism代币被黑客盗取。
在计算机编程中,当在特定范围(代码块、方法或内部类)中声明的变量与在外部范围中声明的变量具有相同的名称时,就会发生变量隐藏。变量隐藏在多种计算机语言中都存在,并不仅仅是Solidity语言独有的特性。
本文概述了 Web3 开发人员和安全团队在设计、开发并维护智能合约时必须考虑的安全要素,覆盖了从威胁建模到应急响应准备的整个周期。
所有存储在区块链上都是公开可见的,包括合约的私有状态变量!所以不要在区块链上存储密码和私钥,而且对于确实需要存储的敏感数据尽量使用hash比对的存储密文hash。通过本文可以理解合约数据的存储,并学会访问合约的状态变量数据。
此次攻击事件主要通过闪电贷资金控制价格,导致兑换数量波动,对于此类安全事件,建议不要使用外部可控的资金数量来获取价格......
SharkTeam合约安全系列课程之NFT&GameFi开发与安全。第五课,让我们一起来聊聊NFT的应用场景。 本文将从基础设施层、协议和资产层、应用衍生层 3 个层面介绍 NFT 的相关应用场景。
基于 DAO提案的攻击也成为了黑客的“新潮流”。前有Beanstalk Farms被“恶意提案+闪电贷”攻击,后有Fortress Loans被“恶意提案+预言机操控”攻击。通过对这两个事件的分析总结下DAO治理的一些安全考量
DAO
重入,顾名思义是指重复进入,也就是“递归”的含义,本质是循环调用缺陷。重入漏洞(或者叫做重入攻击),是产生的根源是由于solidity智能合约的特性,这就导致许多不熟悉solidity语言的混迹于安全圈多年的安全人员看到“重入漏洞”这4个字时也都会一脸蒙圈,重入漏洞本质是一种循环调用,类似于其他语言中的死循环调用代码缺陷。
“递归”
循环调用缺陷
solidity智能合约
本文主要是说明了由两个小钓鱼网站分析出一个大钓鱼网站的事件。
近期钓鱼诈骗攻击事件频发,各种钓鱼攻击手法层出不穷。此时,如何更清楚地了解钓鱼攻击;如何避免被钓鱼显得尤为重要。
本文为SharkTeam团队于5月30日进行的一场线上AMA的实录,应该很多伙伴也参与了,其中干货很多,全程参与后会对SharkTeam的服务能力和技术特点有一个更深的了解。
5 月 25 日,推特用户 @0xLosingMoney 称监测到 ID 为 @Dvincent_ 的用户通过钓鱼网站 p2peers.io 盗走了 29 枚 Moonbirds 系列 NFT,价值超 70 万美元,钓鱼网站目前已无法访问。该用户表示,域名 sarek.fi 和 p2peers.io 都曾在过去的黑客事件中被使用。
扫一扫 - 使用登链小程序
382 篇文章,720 学分
113 篇文章,553 学分
67 篇文章,477 学分
117 篇文章,462 学分
152 篇文章,347 学分