簡析meerkat跑路事件 如何躲避DeFi野礦?
內容來自“大橙子&小同的幹貨鋪”的知識星球,作者康納Repeat。
安全生產簡析下meerkat跑路事件
一、核心問題
1. AdminUpgradeabilityProxy天然的負面影響一代理的邏輯合約可以被替換
2.AdminUpgradeabilityProxy權限沒有移交timelock一項目方不受時間鎖約束,可以隨意使用1。所說的能力,替換邏輯合約最終項目方無限制地將正常合約替換成了攻擊合約,卷款跑路。
二、現場還原(以BUSD池為例)
1.項目方故意“坦誠”給出合約的timelock轉移權限記錄,展示的確執行了changeAdmin方法移交權限給timelock 地址,用於混淆視聽
2.0x7E0c621Ea9F7aFD5b86A50B0942eAee68B04A61C proxy 合約,changeAdmin方法內部調用追蹤到304行,實際寫入key為ADMIN_ SLOT, 但讀取key卻為ADMIN_ SLOT。即O (歐)和0 (零)的一個細微差異,讓changeAdmin方法完全失效,從而達到了已經移交權限的假象
三、結論和經驗
1.高度警惕任何包含proxy 方式合約的項目,若未經timelock約束,合約有被瞬間替換的風險
2. never trust, always verify! 不要相信項目方給出的timelock“證據”, 對於未經審計的fork項目,務必逐個contract做好與原項目的diff (如果你做到了,就可以躲過meerkat的障眼法)
3.基於1更要養成良好的approve 管理意識,meerkat在跑路後仍然通過無限授權,盜取用戶錢包內資產,窮兇極惡。切勿麻痹大意,你永遠不知道你曾經授權過的土礦,是否包含proxy模式,是否已經替換了惡意合約!
4. timelock是安全底线,無論是HECO的LLC,還是BSC的popcornswap、meerkat,犯罪方式越發隱蔽的,但萬變不離其宗,都是無timelock、假timelock。 珍愛生命,遠離無鎖土礦
最後
昨天案發後幾乎沒有看到個人或團隊有明確解析,考慮到未來模仿犯罪不可避免,索性公开信息希望做到安全教育的目的。老農務必提高自己的姿勢水平,留意此類風險。最後祝大家挖礦出入平安。
鄭重聲明:本文版權歸原作者所有,轉載文章僅為傳播信息之目的,不構成任何投資建議,如有侵權行為,請第一時間聯絡我們修改或刪除,多謝。
XRP飆升至三年新高,ChatGPT預言2025年可達5美元!
人工智能預測XRP何時可能達到5美元,並對新興山寨幣STARS給出看漲預測 全球交易者正在轉向Ch...
今日推薦|傳統金融巨頭Visa、摩根大通等正在積極推動資產代幣化
什么是代幣化資產?代幣化資產是資產所有權的數字化表示,存儲在區塊鏈上。這些數字代幣使得高價值資產可...
COW 單日翻倍領漲 DeFi 賽道,V 神最愛的 swap 有什么本領?
隨着特朗普的勝選,加密資產全线普漲,但最為矚目的項目當屬剛剛上线幣安的 COW,最高漲幅204%。...
今日推薦|DeFi 代幣飆升 30%,交易員預計在特朗普領導下 DeFi 將迎來“更友好”的環境
DeFi 公司擔心在美國證券交易委員會的監督下為其代幣實施“價值累積機制”——但隨着當選總統唐納德...
文章匯
文章數量
70粉絲數
0