簡析meerkat跑路事件 如何躲避DeFi野礦?

2021-03-05 18:03:36

內容來自“大橙子&小同的幹貨鋪”的知識星球,作者康納Repeat。

安全生產簡析下meerkat跑路事件

一、核心問題

1. AdminUpgradeabilityProxy天然的負面影響一代理的邏輯合約可以被替換

2.AdminUpgradeabilityProxy權限沒有移交timelock一項目方不受時間鎖約束,可以隨意使用1。所說的能力,替換邏輯合約最終項目方無限制地將正常合約替換成了攻擊合約,卷款跑路。

二、現場還原(以BUSD池為例) 

1.項目方故意“坦誠”給出合約的timelock轉移權限記錄,展示的確執行了changeAdmin方法移交權限給timelock 地址,用於混淆視聽

2.0x7E0c621Ea9F7aFD5b86A50B0942eAee68B04A61C proxy 合約,changeAdmin方法內部調用追蹤到304行,實際寫入key為ADMIN_ SLOT, 但讀取key卻為ADMIN_ SLOT。即O (歐)和0 (零)的一個細微差異,讓changeAdmin方法完全失效,從而達到了已經移交權限的假象

三、結論和經驗

1.高度警惕任何包含proxy 方式合約的項目,若未經timelock約束,合約有被瞬間替換的風險

2. never trust, always verify! 不要相信項目方給出的timelock“證據”, 對於未經審計的fork項目,務必逐個contract做好與原項目的diff (如果你做到了,就可以躲過meerkat的障眼法)

3.基於1更要養成良好的approve 管理意識,meerkat在跑路後仍然通過無限授權,盜取用戶錢包內資產,窮兇極惡。切勿麻痹大意,你永遠不知道你曾經授權過的土礦,是否包含proxy模式,是否已經替換了惡意合約!

4. timelock是安全底线,無論是HECO的LLC,還是BSC的popcornswap、meerkat,犯罪方式越發隱蔽的,但萬變不離其宗,都是無timelock、假timelock。 珍愛生命,遠離無鎖土礦

最後

昨天案發後幾乎沒有看到個人或團隊有明確解析,考慮到未來模仿犯罪不可避免,索性公开信息希望做到安全教育的目的。老農務必提高自己的姿勢水平,留意此類風險。最後祝大家挖礦出入平安。

簡析meerkat跑路事件 如何躲避DeFi野礦?簡析meerkat跑路事件 如何躲避DeFi野礦?簡析meerkat跑路事件 如何躲避DeFi野礦?

鄭重聲明:本文版權歸原作者所有,轉載文章僅為傳播信息之目的,不構成任何投資建議,如有侵權行為,請第一時間聯絡我們修改或刪除,多謝。

推薦文章

Hyperliquid:從史上最有價值空投到高估值警鐘

毫無疑問,Hyperliquid 是近期加密市場炙手可熱的焦點,它通過一場震撼行業的空投,不僅引發...

coincaso
13 2天前

Arthur Hayes 新文聚焦 | 全球貨幣政策的真相,比特幣接下來何去何從?

作為一名宏觀經濟預測者,我試圖基於公开數據和當前事件,作出能夠指導投資組合資產配置的預測。我喜歡“...

coincaso
19 4天前

Ouroboros DeFi:為什么 Usual Money 被低估了?

前言:Ouroboros DeFi 方法論在Ouroboros DeFi收益基金,我們的投資策略始...

coincaso
15 4天前

WEEX 唯客交易所贊助臺北區塊鏈周 支持更多全球用戶Onboard Web3

第三屆臺北區塊鏈周(Taipei Blockchain Week, TBW)於 12 月 12-1...

coincaso
16 4天前

DeFi 3.0正在到來:下一代去中心化金融的演進

DeFi 3.0正逐步成形,多個前沿項目正在引領這一波技術浪潮。$HYPE、$PENDLE、$IN...

coincaso
17 1周前

生息穩定幣協議分析:安全要點與監管難題

穩定幣在加密行業的交易、支付以及儲蓄中佔據至關重要的地位。截至目前,穩定幣市值約 2000 億美元...

coincaso
25 1周前