2020年6月30日下午5:46，Beosin-OSINT威胁情报系统发现
VETH智能合约
遭受攻击，被盗919299个VETH。成都链安·安全实验室第一时间对本次事件进行跟踪分析。
?
根据链上交易显示：
攻击者利用自建合约
通过Uniswap将0.9ETH兑换为138VETH，之后对VETH智能合约
发起攻击，在攻击完成后自建合约进行自我销毁。
本次攻击成本仅0.9ETH，约合200美元。交易
详情如下：
法庭审查员称FTX的破产费用已突破2亿美元:6月21日消息，法庭审查员在周二提交的一份文件中表示，加密货币交易所FTX的清算将“以任何标准衡量都非常昂贵”，专业费用已经超过2亿美元。[2023/6/21 21:52:15]
△图1
在盗币成功之后，攻击者将盗取的VETH通过Uniswap换成了16ETH。如下图所示：
多家公司拟将ChatGPT融入虚拟数字人:金色财经报道，近日，多家上市公司宣布，要将ChatGPT与公司虚拟数字人融合，研发出更加智能化、拟人化的虚拟数字人。中信建投研报认为，生成式AI算法的突破，使得AIGC（人工智能生成内容）进入应用爆发期，创造出巨大的经济价值。多位市场人士预测，虚拟数字人乘着ChatGPT的东风，有望迎来更大发展机遇。 (上证报)[2023/2/18 12:14:23]
△图2
?具体攻击流程如下：
1.攻击者创建攻击合约，通过Uniswap将0.9ETH兑换成138VETH；
2.调用VETH合约changeExcluded函数，支付128VETH手续费，使mapAddress_Excluded的值为true；
The Sandbox将于2月13日解锁3.72亿枚SAND:2月8日消息，据Token Unlocks数据显示，The Sandbox将于2月13日解锁372,570,278枚SAND，占其总供应量的12.419%。行情数据显示，SAND今日上涨触及0.94美元，现报价0.88美元，24小时涨幅23.49%。
此前报道，The Sandbox联合创始人兼首席运营官SebastienBorget表示，The Sandbox已与沙特阿拉伯数字政府管理局(DGA)签署谅解备忘录(MOU)，双方将在元宇宙或VR方面进行合作。[2023/2/8 11:55:17]
3.调用transferFrom函数，因mapAddress_Excluded的值为true，可以直接进行转账；
去中心化衍生品项目Mycelium已上线永续合约交易测试网:金色财经消息，去中心化衍生品项目Mycelium已上线永续合约交易测试网，用户可对ETH、BTC、LINK、UNI、CRV、BAL和FXS以及各种稳定币进行资产交易。此前报道，8月11日Tracer DAO过渡至Mycelium的关键提案已由DAO达成一致。[2022/8/15 12:25:53]
4.攻击完成后，攻击者通过Uniswap将盗取的VETH兑换成16ETH。
漏洞原理分析
此漏洞产生的主要原因是changeExcluded函数修饰符为external，使得任何人都可以调用该函数来绕过transferFrom函数内部的授权转账额度检查，将合约的VETH代币盗走。
首先分析transferFrom函数，在函数内部先进行!mapAddress_Excluded的判断，按照正常逻辑，该结果为true后，将进行授权转账额度的检查。但是转账函数_transfer的调用放在if语句体外，这就导致攻击者可以通过将mapAddress_Excluded的值设置为true而绕过授权转账额度的检查，直接进行VETH代币转移。transferFrom函数源码如下图所示：
△图3
通过分析修改mapAddress_Excluded值的代码发现，在changeExcluded函数内实现了对其值的修改，且该函数修饰符为external，可供外部调用。changeExcluded函数源码如下图所示：
△图4
在未对该值进行设置时，mapAddress_Excluded的初始值为false，最后if判断结果为true，进入if语句体，调用_transfer进行转账，要求支付转账金额为：mapEra_Emission/16即128VETH，然后mapAddress_Excluded的值被设置为true。emission的值如下如所示：
△图5
总结
此次VETH被盗事件，漏洞出自VETH合约而非Uniswap，VETH合约代码的函数访问修饰符的错误使用导致任何人都能绕过授权转账额度的检查，以极低的成本发起攻击。
成都链安·安全实验室在此提醒：各大智能合约运营商，在合约正式部署上线前应做好充分的代码审计工作，即使是一些简单的代码错误也会财产损失。
去中心化金融是加密行业中一个快速增长的领域,尽管DeFi生态系统的规模尚未超过普通加密货币市场,但借贷和储蓄的新方式已获得了媒体的积极报道和“称赞”.
1900/1/1 0:00:00最近公布的证词表明,GavinAndresen对CraigWright是否是比特币的创造者中本聪产生了怀疑。值得注意的是,他曾在CSW公开宣称自己是中本聪时表示了他的支持.
1900/1/1 0:00:006月18日,第十二届陆家嘴论坛在上海开幕。中国人民银行行长易纲在演讲中表示,当前中国经济基本面良好,货币政策仍在正常区间,人民币在所有发展中国家的利率相比较,人民币的利率是最低的,但是对主要可兑换货币还保持着较高的逆差,所以人民币的资.
1900/1/1 0:00:00Omise和OMGNetwork母公司、总部位于泰国的网络支付与区块链金融科技公司SYNQA今天宣布在C轮融资中已经筹集了8000万美元,由SCB10X和SPARXGroupCo.,Ltd.领投,其他参投者包括丰田金融服务公司.
1900/1/1 0:00:00孙子兵法云“善守者藏于九地之下,善攻者动于九天之上,故能自保而全胜也。”攻者,强而战之,利而取之者也。守者,机而制之,利而战之,弱而退之者也。夫战之形,无非攻守,战之道,无非攻之守,守之攻也.
1900/1/1 0:00:007月4日,新加坡新跃社科大学、万向区块链实验室及巴比特将联合发起顶级区块链线上峰会———2020中新区块链领袖高峰论坛。峰会主题为“四海一心,共赢未来”,来自中国和新加坡的区块链专家,将线上连接,分享区块链最新发展趋势和最热门议题.
1900/1/1 0:00:00
宇宙链