比特币价格·比特币行情
首发 | Text.finance智能合约安全漏洞分析
北京时间11月12日，CertiK安全研究团队发现DeFi项目text.finance智能合约代码部分存在安全漏洞。
分析之前，先考考大家的眼力，看看下图里面的文字说了什么。
如果看不清，不妨点击图片后把屏幕亮度调至最高。
有的时候，某些不想让你看到的因素，正是通过排版或者这样的方式，被刻意隐藏了起来。
接下来说说该项目中存在的两处漏洞。大家不妨在阅读文章的时候注意一下图中[function函数]的位置。
第一弹：项目拥有者可通过第一处漏洞，将指定数目代币转移到任意地址。
第二弹：项目拥有者可通过第二处漏洞，将任意投资者的流动性池中的资产强制转移到项目拥有者的地址中。
textMiner.sol
部署地址:
https://etherscan.io/address/0x9858728de38c914c2ea32484a113b6628d984a82#code
1. 漏洞一
项目拥有者在textMiner.sol智能合约1000行处实现了withUpdates()函数。该函数的的作用是可以将任意数量的为devaddr地址铸造任意数量的代币。而通过查看图2中devaddr和项目拥有者owner的地址值，可以发现两者相同，因此项目拥有者可以通过该漏洞为devaddr地址铸造任意数目代币。
同时，当前的devaddr地址拥有者可以通过图3的dev()函数将devaddr地址值更换到另外一个地址，因此最终项目拥有者可以更换将devaddr地址值更换的方法，向任意地址中铸造任意数目代币。
虽然项目拥有者将图1中的withUpdates()函数设置为不允许智能合约外部调用，但是却有意地在图4中919行实现了允许被外部调用的add()函数，然后通过921行代码调用withUpdates()函数，从而实现向devaddr地址铸造1000000000000000000000000000000数量代币。
图1：第1000行中的withUpdates()函数
图2：devaddr地址以及项目拥有者owner地址
图3：dev()函数
图4：add()函数
2. 漏洞二
图5：emergencyWithdraw()函数
项目拥有者可以通过调用图5中emergencyWithdraw()函数，将某一个特定地址投资者的某一个流动性池中的流动性资产全部取出，并转移到项目拥有者的地址中。
该emergencyWithdraw()函数是一个基于正确的emergencyWithdraw()函数。因此就算审视合约者不恶意揣测，也很难说项目方不是恶意改写，并添加了该漏洞。
从下图6的对比中可以发现，Sushiswap允许投资者通过调用emergencyWithdraw()函数，紧急取出属于自己的流动性资产，而在text.finance中却仅允许项目拥有者来调用该函数，同时允许项目拥有者取出属于任何投资者的流动性资产。
图6：text.finance和sushiswap项目中emergencyWithdraw()函数实现对比
CertiK安全研究团队认为当投资者在对DeFi项目进行投资时，不仅需要对智能合约常见的代码有所了解，更需要谨慎地审视具体代码的实现逻辑。否则极易掉入类似该项目中的恶意漏洞陷阱当中。
对于非技术背景的投资者，更需要了解项目是否经过严谨的技术审计。从Text.finance项目的恶意漏洞中可以看出，盲目投资一个没有经过严格审计的项目，或引发极大风险，并造成难以估量的损失。
部署地址:
首发 | Bithumb将推出与Bithumb Global之间的加密资产转账服务:Bithumb内部人士对金色财经透露，Bithumb推出和Bithumb Global之间的加密货币资产免手续费快速转账服务，每日加密货币资产转账限额为2枚BTC。此消息将于今日晚间对外公布。据悉，目前仅支持BTC和ETH资产转账。[2020/2/26]
首发 | 《一起来捉妖》中玩家达到22级将会接触到专属猫的玩法 :今日腾讯上线首款区块链游戏《一起来捉妖》，经金色财经查证，游戏中玩家达到22级将会接触到专属猫的玩法，而非此前官方对外宣称的15级。除了诱猫铃铛召唤出的0代猫以及部分通过运营活动奖励的专属猫以外，游戏中所有的猫默认都是未上链状态。未上链的猫不能出售，也无法进入市场与其他玩家配对；但是你可以使用这些猫与你的QQ/微信好友进行配对，产出新的小猫。使用道具“天书笔”可以将你的猫记录到区块链。当猫被记录到区块链以后，这些猫就可以进入市场，通过配对赚取点券，或者出售赚取点券。专属猫是否上链，并不影响它的增益效果。但只有上链后，它才能面对全服务器所有的玩家进行繁殖、交易。 \n \n《一起来捉妖》中的专属猫玩法，基于腾讯区块链技术，游戏中的虚拟数字资产得到有效保护。此外，基于腾讯区块链技术，猫也可以自由繁殖，并且运用区块链技术存储、永不消失。[2019/4/11]
IMEOS首发 EOS Go公布新增两条复选条件 :据金色财经合作伙伴IMEOS报道：今日，EOS Go在 steemit上公布新增的两条复选条件为： \n1. 保证安全的计划：候选节点是否在steemit上发布文章介绍该节点的安全方法和计划，“安全方法”标准是向EOS选民展示安全最佳实践知识和组织实施计划的机会； \n2. 立场：描述该节点分享通胀奖励和/或向EOS代币持有人派发股息的立场（候选节点在steemit发布）。主要阐述以下两个问题： \n该组织是否会出于任何原因向EOS令牌选民提供支付，包括BP选举和社区建议？ \n该组织是否有书面的无票付款政策？如果是这样，请提供一个链接。[2018/4/27]
标签：
区块链热门资讯
这几年,学术和产业界对区块链的理解和应用产生了大量误区,本人也在过去的文章中逐步澄清和重新定义。不过,总觉得意犹未尽,没有专门立题成章。最近由于正在设计分布式产业协作模型,每到区块链技术运用精妙之处,觉得需要有系列文章来逐一解释这些误解。希望通过本人的反复倡导,可以为区块链产业运用提供更多的方案和定义。
2020/12/12 20:07:57北京时间9月29日,CertiK安全研究团队发现Yearn.finance的新项目Eminence.finance出现异常交易。有三笔共计价值约1.09亿人民币的资金,被从Eminence智能合约中转出,地址为：0x5ade7ae8660293f2ebfcefaba91d141d72d221e8。
2020/12/12 20:07:53今年美国大选虽说有了广泛意义上的尘埃落定,但竞选结果并未明确。 如今拜登团队宣布胜选,美国媒体纷纷宣布拜登当选下届美国总统。而另一方面,川普拒绝接受败选结果,他持续进行计票,并宣称要采取法律行动。 造成如今这个混乱结果的首要原因在于美国没有设立独立的对大选事务具有权力的权威性的选举委员会,在默认情况下,是新闻机构承担了这个角色。
2020/12/12 20:07:48北京时间2020年11月20日, Telegram社群出现某些截图声称Keep3rLink接受了CertiK的审计服务。 在此,CertiK郑重声明：CertiK团队从未对 "Keep3rLink" 项目进行过任何审计。 同日,CertiK安全研究团队发现Keep3r项目存在中心化安全风险。
2020/12/12 20:07:36八千万人民币的大案子,是不是想起了《人民的名义》里那一墙的人民币？ 在日常生活里,也许你不小心疏忽遗失了钱包也丢不了太多钱。但在加密货币的世界中稍有不慎,损失的金额也许是一把撒出去遮天蔽日的那种效果。 在层出不穷的矿坑中,一着错漏,满盘皆输。往往项目拥有者与投资者一样,心心念念记挂着自家项目的安全性。
2020/12/12 20:07:31今年下半年以来,在加密货币市场热度最高的话题DeFi中,关于DEX、流动性挖矿、治理代币等等的讨论不绝于耳。近期随着市场情绪的高涨,锁定在DeFi领域中的资金规模更是创下了历史新高——140亿美元,较年初时上升近9倍。然而,DeFi中有一个细分的应用领域似乎鲜有被大家关注到,即DeFi彩票。本文我们一起了解这个领域的现状和未来。
2020/12/12 20:07:25
