编者按：本文来自数字彗星科技，星球日报经授权发布。针对前段时间EOS漏洞问题，本文将进行整体细节的回顾，希望大家提起安全意识，但也不要过度恐慌，正确看待安全问题。一、事件概述6月22日凌晨，EOS官方社区发布消息称：发现EOS漏洞，用户抵押投票的代币在漏洞修复之前都无法赎回。随后我们根据相关消息对该漏洞进行验证确认该漏洞确实存在，且在漏洞修复前，通过精心构造的攻击使得特定用户资产进行无限期抵押，无法赎回。我们知道EOS采用DPoS共识机制，该机制通过社区投票选举21个超级节点来维护EOS网络，为EOS网络提供算力、带宽以及存储支持。用户投票不需消耗EOS，但EOS会被锁定。用户可以随时申请赎回抵押的EOS，申请赎回后72小时后到账，同时，投票将被扣减。此次漏洞事件发生在EOS赎回过程中，如果其他用户抵押EOS给赎回用户，系统首先将赎回用户赎回过程中的EOS进行再次抵押。我们已经知道申请赎回的EOS需要72小时才能到账，如前所诉，通过精心构造的攻击理论上使得指定用户资产进行无限期抵押，对用户造成严重危害。二、漏洞攻击流程1.假设被攻击用户拥有0.0005个正在赎回途中EOS。
Ronin Network及其开发者测试网Saigon更新RON质押、浏览器细节查询等功能:12月8日消息，Ronin Network DApp更新DPoS、RON质押、浏览器等功能，其中开发者测试网Saigon的更新包括RON质押，错误修复，用户界面增强，并防止二次委托；Ronin Network的更新包括RON交易（包括multisig）在浏览器的显示、以及ERC721和ERC1155 Token ID及其细节的可查性。[2022/12/8 21:31:49]
2.此时攻击者向赎回用户抵押0.0001个EOS。
澳大利亚ASIC披露侦破Telegram群组“pump and dump”计划的细节:12月29日消息，澳大利亚证券和投资委员会（ASIC）披露了10月如何关闭加密“pump and dump”Telegram群组的细节。新文件显示，自10月初以来，ASIC一直在征求金融学者和加密货币研究员Talis Putnins的意见。
Putnins向ASIC调查人员展示的38张幻灯片显示，“pump and dump”计划是周期性的，在2018年达到峰值，2021年再次达到峰值。报告指出，它们往往与整体市场情绪和价格相关。据介绍，从2018年到2021年10月发表报告期间，有许多因素发生了变化。在2018年的6个月里，Putnins记录了超过355起加密市场操纵案件。他提到了这些计划具有“明显的拉盘意图”，而且这些计划“完全公开，让所有人都能看到”。
该报告详细介绍了Telegram群组“Crypto Binance Trading | Signals & Pumps”9月19日为Frax Share（FXS）拉盘，在不到一分钟的时间内就获得了高达90%涨幅，成交量达6500万美元。报告称，缺乏法律风险、论坛匿名和加密是这些团体存在的潜在原因，并补充说，（人们）认为加密是不受监管的，因此拉盘是合法的。（Cointelegraph）[2021/12/29 8:10:57]
3.交易生效后，我们看到攻击者的余额没有发生变化，而赎回用户正在赎回途中的0.0001个EOS被迫再次进行抵押。
声音 | 前摩根大通高管：DApp应该易于使用 用户无需担心技术细节:据CryptoGlobe消息，摩根大通前执行董事Amber Baldet认为，“当人们使用DApp时，应该更多地关注应用程序的功能，而不是它的底层技术。”[2019/4/29]
三、漏洞原理解析攻击流程图中的攻击命令如下：cleos--wallet-urlhttp://localhost:6666--urlhttp://mainnet.genereos.io:80systemdelegatebw(attacker)(victim)"0.0001EOS""0.0000EOS"--transfer由于攻击者在调用命令时加入了--transfer参数，在调用到抵押函数delegatebw时会调用changbw函数，此时transfer为true
当transfer变量为true时，from地址变成被攻击对象的地址，
接下来被攻击对象的数据被修改，EOS再次抵押，
四、漏洞缓解方案综合以上分析，本文建议修改部分业务逻辑缓解和修复该抵押漏洞。1.transfer参数不管是否为true，都应该直接在抵押发起方余额中扣除；2.梳理相关业务逻辑，审查是否存在类似漏洞。五、漏洞分析总结通过以上分析，通过精心构造的攻击使得特定用户资产进行无限期抵押，无法赎回。利用缓解方案的措施修补代码能够有效缓解和修复该漏洞。
本文来自：infoQ,作者:BenDickson,译者:刘子达,星球日报经授权转发。“Facebook的创始者马克·扎克伯格,正在寻找一个更加平衡的方式来货币化你的数据.
1900/1/1 0:00:00消费升级之下,内容分享正在成为美妆市场新的流量入口。但在当前的美妆内容社区中,消费者也面临不少美妆分享内容夹带不少广告“私货”,且内容产出“收益化”往往被美妆KOL垄断的窘境.
1900/1/1 0:00:00自比特币诞生起,矿业就是一个不得不面对的现实问题。从交易平台Bitconnect的庞氏局、比特币矿机制造商ButterflyLabs的期货局到Onecoin局,比特币矿业欺诈事件不胜枚举.
1900/1/1 0:00:00根据CNN消息,加密猫公司发布了三只NBA球星StephenCurry造型的以太猫,预计将发售六位数。但不久后,一家名为FounderStarcoin声称加密猫公司剽窃其创意,将其告上法庭.
1900/1/1 0:00:00“说真的,我想知道这个问题的答案,因为它值10亿美元。”——纽约投资管理公司VanEck数字资产战略总监加布尔·古巴斯最近,VanEck公司成为了各家媒体的头条新闻,因为他们已经向美国证券交易委员会提交了比特币交易所交易基金的申请.
1900/1/1 0:00:00根据CCN消息,波音公司近日表示,正在与人工智能公司SparkCognition合作,利用区块链技术开发一个能够“为用户自动分配飞机”的分布式平台,类似于“空中的士”.
1900/1/1 0:00:00
宇宙链