10月27日，成立于2020年的TeamFinance在官方Twitter发声，该协议管理资金在由Uniswapv2迁移至v3的过程中遭到黑客攻击，损失达1450万美元。
在事件发生后的第一时间，欧科云链链上卫士团队凭借超200TB的链上数据量储备，快速对黑客地址进行数据追踪、手法解析，并及时通过官方渠道反馈TeamFinance分析结果，避免链上损失态势进一步扩大。
据链上卫士安全团队分析，此次受到攻击的项目方UniswapV2池子有CAW、TSUKA、KNDX、FEG。
开发团队Yuga Labs称Arizona Iced Tea对Bored Ape NFT品牌的使用“不合适”:8月24日消息，上周五，Arizona Iced Tea公司宣布已购买一件Bored Ape Yacht Club NFT。据悉，该系列包括1万张随机生成的头像图片，自4月份推出以来，这些图像的价值飙升。尽管Bored Ape的推特账户分享了这一消息，并欢迎该品牌进入社区，但其创作者后来表示，该饮料品牌实际上已经超越了其商业限制。
Bored Ape Yacht Club的开发团队Yuga Labs周日称，在购买该NFT及其声明方面，它没有与Arizona Iced Tea合作。该团队在一封电子邮件中表示：“在相关推特发布之前，我们从未与Arizona Iced Tea进行过交流。”Yuga Labs向Bored Ape NFT所有者授予商业许可，让他们在认为合适的情况下使用自己拥有的图像，甚至可用于创建或推广产品。这部分没有问题。据Yuga Labs称，Arizona Iced Tea的错误之处在于其在公告中使用了Bored Ape Yacht Club及其Logo，这并不算授权使用。（Decrypt）[2021/8/24 22:33:55]
依托于区块链链上数据可溯源、不可篡改的特性，链上卫士团队将链上追踪结果以图表的方式展现，通过黑客资金流向图，用户可清晰地了解黑客盗取资金后的动态。
英国茶品牌Yorkshire Tea将推特简介改为\"Let's have a Bitcoin\":昨日，英国知名茶品牌Yorkshire Tea将推特简介改为\"Let's have a Bitcoin\"（让我们拥有一个比特币）。随后，英国加密播客主持人Peter McCormack将其推特名改为了PeTea McYorkshire。不过，Yorkshire Tea官方表示，“明天就会将其改回，否则就会被人骂。”截至目前，该简介仍未更换。[2021/5/7 21:34:36]
准备盗取资金的对象：即需要迁移的币对FEG-WETH
Hempstead：零售需求可能促使SEC批准比特币ETF:3月8日消息，ETF和对冲基金提供商IndexIQ的机构业务开发总监Chris Hempstead预测，随着对产品零售需求的增长，比特币ETF将会出现。在某个时候，当市场需求和投资者需求将钟摆推向某个区域时，他们可能会重新审视它，并有不同的考虑因素。(Cointelegraph)[2020/3/9]
而取回的币对却是黑客创建的无价值的token0:0x2d4abfdcd1385951df4317f9f3463fb11b9a31df和有价值的token1:WETH
两者的不一致，是导致该合约被攻击的根本原因！
在这一步中，黑客首先通过lockToken锁仓攻击token，lockedToken变量会记录锁仓详细信息，其中关键字段为withdrawAddress，该字段存在可以满足后续migrate的权限判断。
#Step3：
UniswapV3调用v3Migrator.migrate方法，迁移FEG-WETH流动性对。
在这一步中，UniswapV3Migrator合约在接收到TeamFinance中传入的参数，会迁移UniswapV2的LP，燃烧LP，获取底层资产$FEG和$WETH，根据转换参数只有1%进入V3pool，其余99%退还给发送合约，TeamFinance将返回到token发送给攻击合约。
Step3步骤拆解：
黑客调用TeamFinance得合约进行LP迁移，利用Step1中准备好的withdrawAddress和msgSender吻合，通过权限检查。
由于TeamFinance的迁移逻辑没有检验交易id与migrateparams的相关关系，黑客通过上面校验后，真正迁移的是黑客输入的params参数。
该参数指定的migrate为与黑客锁仓token无任何关系的FEG-WETH交易对，且迁移数量为TeamFinance持有的全部LP，但参数指定只migrate1%。
此外，相同手法对其它3个流动性池进行了攻击：
USDC到相关项目方，共计约1340万美元。
此次攻击事件，漏洞的本质原因是对输入参数的校验逻辑有问题。黑客通过锁仓毫无价值的token，获取了调用migrate接口的权限。进一步调用UniswapV3的migrate的参数，完全由黑客输入，导致可以从其合约内迁移其他LP资产，结合UniswapV3的migrate处理是首先燃烧所有LP资产，再按照输入的percentage进行迁移，并返还剩余资产，使得黑客可以通过只迁移1%资产，从而窃取剩余99%的资产。
总而言之链上安全无小事，欧科云链再次提醒：重要函数的参数校验要仔细。建议在项目上线前，选择类似链上卫士的专业安全审计团队进行全方位审计筛查，最大化规避项目上线后的安全风险。
标签：TEARATTOKENKENNextEarthMOONPIRATE3X Short Chainlink TokenLCX token
DearHuobiGlobalUsers,CandyDropislaunchingXNOonNov2,2022.Registrationperiod:XNO:11:00(UTC)Nov2,2022–15:00(UTC)Nov5.
1900/1/1 0:00:00在通过Merge事件成功部署权益证明(PoS)共识机制之后,以太坊网络准备通过上海升级引入其他系统更新。作为市值第二高的区块链网络,以太坊的升级由于锁定资产的绝对数量而受到更多关注.
1900/1/1 0:00:00活动时间：2022/10/1912:00至2022/11/0111:59 活动二：每日首充赠5% 活动方式： 活动期间每天充值100USDT以上,可领取到5%的合约抵扣金,每组账号每天最高可领10USDT合约抵扣金.
1900/1/1 0:00:00?Web2巨头Meta在Arweave的去中心化存储技术的帮助下为Instagram带来了数据永久性.
1900/1/1 0:00:00?加密货币世界热切期待有关可能向Twitter添加加密代币的公告在特斯拉首席执行官埃隆马斯克收购Twitter并罢免其首席执行官ParagAgrawal后,狗狗币(DOGE)的价格在一周内上涨了130%以上.
1900/1/1 0:00:00尊敬的用户： 自疯狂合约上线以来,由于其“500X杠杆”和“最高5%盈利加成”的特性,一直受到市场的热捧,为给予广大用户更好的使用体验,BKEX将于2022年11月3日15时上线全新疯狂合约.
1900/1/1 0:00:00
宇宙链