安全公司慢雾发布安全预警称，ADX合约设计疑似存在“后门”风险。具体细节为：在合约中grantVestedTokens方法写了转账是否可以允许被revoke，可以在grants这个mapping中或者tokenGrant中查到用户生成的这个TokenGrant到底允不允许revoke,如果是允许revoke则要慎重，用户可以通过revokeTokenGrant撤回，这样holder就会受到损失，代币可能会回到原本用户的余额上或者转到0xdead,这取决于burnsOnRevoke的值。ADX项目业务设计比较特殊，如果在对接交易所的话，没有说明对接的方式，以及一些特殊方法的调用和判断，会造成交易所损失，请交易所注意对接时候相关细节处理。
慢雾：Cover协议被黑问题出在rewardWriteoff具体计算参数变化导致差值:2020年12月29日，慢雾安全团队对整个Cover协议被攻击流程进行了简要分析。
1.在Cover协议的Blacksmith合约中，用户可以通过deposit函数抵押BPT代币；
2.攻击者在第一次进行deposit-withdraw后将通过updatePool函数来更新池子，并使用accRewardsPerToken来记录累计奖励；
3.之后将通过_claimCoverRewards函数来分配奖励并使用rewardWriteoff参数进行记录；
4.在攻击者第一次withdraw后还留有一小部分的BPT进行抵押；
5.此时攻击者将第二次进行deposit，并通过claimRewards提取奖励；
6.问题出在rewardWriteoff的具体计算，在攻击者第二次进行deposit-claimRewards时取的Pool值定义为memory，此时memory中获取的Pool是攻击者第一次withdraw进行updatePool时更新的值；
7.由于memory中获取的Pool值是旧的，其对应记录的accRewardsPerToken也是旧的会赋值到miner；
8.之后再进行新的一次updatePool时，由于攻击者在第一次进行withdraw后池子中的lpTotal已经变小，所以最后获得的accRewardsPerToken将变大；
9.此时攻击者被赋值的accRewardsPerToken是旧的是一个较小值，在进行rewardWriteoff计算时获得的值也将偏小，但攻击者在进行claimRewards时用的却是池子更新后的accRewardsPerToken值；
10.因此在进行具体奖励计算时由于这个新旧参数之前差值，会导致计算出一个偏大的数值；
11.所以最后在根据计算结果给攻击者铸造奖励时就会额外铸造出更多的COVER代币，导致COVER代币增发。具体accRewardsPerToken参数差值变化如图所示。[2020/12/29 15:58:07]
声音 | 慢雾科技余弦：公链需应对未来可能的新型51%攻击挑战:安全公司慢雾科技创始人余弦今日表示，我和团队的感觉是，Vitalik 的分享有偷换概念，创造名词嫌疑。PoW、PoS 各有优劣，也各有自己独特的 51% 攻击及治理方式，51% 已经是一个广义概念了，我觉得最长远的对抗方式是：这条链拥有足够强的全球共识，以应对未来可能出现的新型 51% 攻击挑战。其实所有公链都有个持续存在的上帝视角级挑战，一种根本不计经济成本的攻击挑战，那什么样的攻击是不计成本的？此前消息，以太坊联合创始人Vitalik Buterin近日发表题为《越过51%攻击》的演讲，他表示覆巢式51%攻击成PoW区块链致命威胁，PoS或是唯一出路。[2020/2/22]
公告 | 慢雾区发布EOS假账号安全风险预警:慢雾区发布EOS假账号安全风险预警称：如果EOS钱包开发者没对节点确认进行严格判断，比如应该至少判断15个确认节点才能告诉用户账号创建成功，那么就可能出现假账号攻击。
攻击示意如下：
1.用户使用某款EOS钱包注册账号（比如 aaaabbbbcccc），钱包提示注册成功，但由于判断不严格，这个账号本质是还没注册成功；
2.用户立即拿这个账号去某交易所做提现操作；
3.如果这个过程任意环节作恶，都可能再抢注aaaabbbbcccc这个账号，导致用户提现到一个已经不是自己账号的账号里。
防御建议：轮询节点，返回不可逆区块信息再提示成功。[2018/7/16]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。