FX168财经网_全球视野外汇黄金加密货币NFT资讯网

数据验证环节漏洞导致损失330万美元详解Socket攻击事件始末

了SocketGateway的地址中的USDC（截图如下）。127名受害者被骗走约250万美元。 3.接下来，第二个合约则将目标对准了受害者地址内的WETH、USDT、WBTC、DAI与MATIC。于是，另外104名受害者损失了约如下资产： -42.48 WETH -347,005.65 USDT -2.89 WBTC -13,821.01 DAI -165,356.99 MATIC 4.攻击者将USDC与USDT转换成了ETH。漏洞来源被攻击者利用的漏洞存在于新添加的路由地址routeAddress内的performAction函数中。该地址内的performAction函数原本的功能是协助Wrapping与Unwrapping的功能。然而，该函数中出现了一个关键漏洞：用户在无需验证的情况下，直接在.call() 中通过swapExtraData调用外部数据，这意味着攻击者可以执行任意恶意函数。在这次事件中，攻击者制作了一个恶意的swapExtraData输入，触发transferFrom函数。该恶意调用利用了用户对SocketGateway合约的授权，从他们那里盗走了资金。虽然合约会通过检查余额检查确保fromToken.call()调用后用户余额会出现正确的变化，但该函数没有考虑攻击者将金额设置为0的情况。还原攻击流程 1.使用攻击合约，攻击者在Socket Gateway合约上调用了0x00000196()。 2.fallback() 使用六进制签名196调用了有漏洞的路由地址合约（routerAddress）。 3.在下面的截图中，我们可以看到攻击者使用的虚假输入，Swapping数量全部为0。 4.接下来将调用WrappedTokenSwapperImpl.performAction()进行Swap。 5.在没有进行任何验证的情况下，虚假的SwapExtraData被fromToken (WETH)接受并执行。 6.攻击者重复执行以上流程，直到受害者资产耗尽。恶意交易出现后，Socket 迅速调用了disableRoute，屏蔽了之前有漏洞的路由，阻止了更大范围的攻击。 7.1月23日，Socket宣布已经追回1032枚ETH，并在25日宣布将全额补偿所有损失。本次事件得到解决。事件总结在有着无限额用户授权的路由合约中，恶意calldata攻击并不罕见。以前类似的攻击包括Dexible和Hector Bridge。 2023年2月17日，去中心化交易所Dexible被攻击，损失超过150万美元。漏洞利用者向Dexible的fill()函数输入恶意calldata，以窃取用户资产。 2023年6月2日，Hector网络的协议被攻击。攻击者部署了一个虚假的USDC合约，并通过恶意calldata，将65.2万枚真实的USDC从受害者的合约中转移出去。区块链聚合平台通常通过封装一系列桥和路由合约来提高流动性，减少损耗。然而，这种复杂的封装会给安全性带来更多难题。 Socket此次事件可以得到解决无疑是各方努力的结果，CertiK也将继续致力于为平台提供全方位审计与检测，降低各类聚合风险，提高社区信任和整个行业的安全水平。来源：金色财经

金色财经02-04 15:20

Grayscale：现货比特币ETF上市后市场将关注什么？

定币保留着储备资产。 [10] 另外，USDC 稳定币发行人 Circle 申请了 IPO。 [11] 图表 5：Tether 推动稳定币采用的增长随着现货比特币 ETF 的推出，加密货币市场的焦点可能会重新转向宏观经济、政治情况和技术发展。周三（1月31日），美联储表示，虽然通胀风险已“更好平衡”，但尚未准备好开始降息。任何降低实际利率的货币政策变化都将对比特币的估值产生积极影响。加密货币投资者也可能开始展望美国总统大选，其中对选民来说重要的各种问题与加密货币投资主题相交叉，候选人对资产类别的看法仍然占据主导地位。 Grayscale 通过与哈里斯民意调查合作，继续追踪加密货币在选举中的作用（有关详细信息，请参阅 2024 年选举：加密货币的作用）。最后，在技术方面，我们预计在 2 月底 ETH 丹佛会议和定于 4 月颁布的以太坊改进提案 (EIP) 4844 之前，人们将持续关注比特币减半以及有关以太坊扩容的争论。[12] 参考文献： [1] 资料来源：彭博社，截至 2024 年 1 月 31 日。 [2] 资料来源：彭博社。回报率计算时间为2023年12月29日至2024年1月31日。 [3] 资料来源：Glassnode 数据，截至 2024 年 1 月 31 日。 [4] 资料来源：CoinGecko，截至 2024 年 1 月 31 日。 [5] 资料来源：The Block。 [6] 资料来源：CoinGecko，截至 2024 年 1 月 31 日。 [7] 资料来源：路透社。 [8] 资料来源：CoinGecko，截至 2024 年 1 月 31 日。 [9] 资料来源：DeFi Llama，灰度投资。截至 2024 年 1 月 31 日。 [10] 资料来源：The Block。 [11] 资料来源：CNBC。 [12] 资料来源：Consensys。来源：金色财经

金色财经02-04 10:51

Chainalysis报告：2023年有54%的ERC-20代币涉嫌在DEX炒作

币仍然无法轻松地与 ETH、wETH、USDC、USDT 和 wBTC 等流动资产进行兑换，而不会对其价格造成重大影响。有很多原因可以解释未能实现更多流动性交易量的原因。随着代币化的普及，向日益拥挤的市场推出新代币变得更具挑战性。然而，有些可能是尝试拉高和转储计划。以下是一种代币操作如何发生的示例：一个参与者（或一组参与者）要么推出新的代币，要么购买现有代币的大部分供应——通常是历史交易量较低的代币。某位推广者将代币宣传为“快速致富”的机会，通常使用社交媒体和在线聊天室（例如 Discord 和 Telegram）。社交媒体和聊天室上的持续营销吸引了用户的关注，导致购买量增加。推广者还可能进行虚假交易，即同时买卖同一资产，目的是伪造其交易量。如果成功，代币的价值就会上升。一旦代币达到价格目标，参与者就会清算其头寸以获取利润。由于抛售压力加大，代币价格迅速下跌，导致许多受害者“背锅”。如果参与者同时也是代币创建者，他们可能会完全放弃代币项目，带走更多用户的资金，也称为“Rug Pull”。然而，这并不总是可行，具体取决于项目的治理。其中许多要素可以在链上数据中识别。我们使用 Transpose 来寻找满足以下三个标准（“标准 A”）的 ERC-20 代币：该代币被 DEX 用户购买了五次或更多，而与代币最大持有者没有链上联系，这表明它在市场上取得了一定程度的吸引力。单个地址消除了该代币 DEX 流动性池中超过 70.0% 的流动性，表明最大持有者抛售了该代币。在大多数情况下，该地址会在发布后的最初几周内消除代币的流动性。该代币目前的流动性为 300 美元或更少，这表明该代币的市场在流动性消失后基本上停止了。如果代币涉及多个 DEX 池，我们会合并流动性。我们发现大约 90,408 个代币符合标准 A。这个数字占研究期间在以太坊上发行的所有代币的 24.4％，以及在 DEX 上列出的代币的 53.6％。然而，到2023年，符合标准A的代币交易量仅占以太坊DEX总交易量的1.3%。这种方法并不意味着这些代币是拉高抛售计划的对象——相反，它说明了运营商或监管机构如何利用链上交易数据来识别和优先考虑可能暗示非法活动并需要进一步调查。自 2023 年中期以来，每月满足标准 A 的新代币数量一直在下降，但仍高于 2022 年的数量。推出符合标准 A 的代币的参与者在其代币价值暴跌之前获利了多少？我们可以根据与代币发行相关的钱包如何与其 DEX 流动性池交互并交易代币本身，使用以下公式来计算这一点。 A = 可能的非法行为者从 DEX 池中提取的金额 B = 可能的非法行为者存入 DEX 池的金额 C = 非法行为者用于交易代币的资金，可能是通过清洗交易利润 = A – B – C 使用这个公式，我们计算出，推出符合标准 A 的代币的参与者在 2023 年总共获得了约 2.416 亿美元的利润，这还不考虑建立和推出利润的其他成本。尽管这些参与者获得的总利润相当可观，但符合我们标准的单个代币平均每只产生 2,672 美元的利润，仅占 2023 年以太坊 DEX 总交易量的 1.3%。该数据描绘了一个生态系统的图景，其中潜在的不良行为者可能会产生数以万计的潜在拉高和抛售代币，其中大多数无法产生可观的利润，也不会吸引有意义的交易量。案例研究：2023 年最多产的代币创建者之一生成了 81 种符合我们标准的不同代币一些参与者似乎还会推出多个符合我们标准的代币，这可能是使用相同模式生成更多收入的一种方式。在研究的时间段内，我们识别出一个地址——下图中的钱包1——似乎参与了最多次满足A标准的代币的推出。该地址的操作者推出了81种不同类型的代币，据估计获得了83万美元的利润。在一个例子中，该地址在我们将其称为代币 A 的代币发布并在 DEX 上上市时赚取了大约 46,000 美元。我们可以使用 Chainalysis Storyline 详细了解该地址运营商如何成功执行这些活动以及更多活动。首先，2023 年 8 月 5 日，地址运营商将打包的以太坊（wETH）和代币 A 发送到流动性池。接下来，地址运营商似乎使用 ETH 和 wETH 进行了清洗交易，如随后的 8 笔交易所示，并在 8 月 6 日移除了部分流动性，可能会获利了结。执行这些交易后，地址运营商于 8 月 9 日通过出售现有头寸消除了所有 wETH 和 Token A 的流动性，并使剩余用户没有流动性来出售自己的资产。自上次清除以来，该流动性池中没有发生任何额外交易，这表明除了可疑的拉高和抛售计划之外，还存在拉动。总而言之，此活动表明攻击者可能采用了不同的策略来进行相对复杂的攻击。下图说明了 DEX 池的流动性在此期间如何变化，显示了 8 月 6 日 wETH 余额的几次急剧增加。在最右边，我们看到，一旦地址运营商撤回所有资金，流动性就回到了零。 8 月 9 日。总体而言，使用该 DEX 池的其他 108 名市场参与者似乎已经损失了资金；在此期间，他们购买了大约 55,000 美元的代币 A。监控市场模式以维持加密货币市场的完整性和稳定性市场操纵（例如拉高和抛售计划）对加密货币市场具有破坏性，就像对传统市场一样。然而，加密货币固有的透明度提供了建立更安全市场的机会。市场运营商和政府机构可以部署监控工具，帮助识别并优先考虑需要进一步调查的领域，而这在传统市场中是不可能的。像 Transpose 这样的工具可以帮助监控链上数据以发现异常活动的迹象，并帮助与各种形式的链下数据结合发现可操作的线索。来源：金色财经

金色财经02-04 10:00

波场TRON链上稳定币本周日均转账额超106亿美元

稳定币（USDT+USDJ+TUSD+USDC+USDD）日均转账额为10,647,131,124美元，超过106亿美元。一直以来，波场链上稳定币凭借其透明安全、秒级到账等诸多优势，受到广大用户青睐，单日稳定币转账额正稳步提升。截至目前，波场链上稳定币总市值超540亿美元，持有账户数超3800万，波场TRON已成为稳定币的主要基础设施。未来，依托于波场公链更安全、高效率的底层区块链优势，波场链上稳定币转账额还将稳步增长，波场TRON也将持续赋能稳定币的发展。来源：金色财经

金色财经02-03 15:12

Penta Lab 研報 Pendle Finance - 收益代幣化賽道龍頭

我們根據各個賽道TVL假設了增速，其中USDC月環比可以達到40%六個月後有望達到1.3億美元體量，cDAI六個月後有望達到1.1億美元體量，以此預測六個月後總體TVL有望達到6.7億美元。目前存量货币得出六个月預估全供应市值10.4億美金，有97%上升空间。風險提示：代幣流通量增加、市場競爭加劇、技術安全隱患和用戶教育難度。聲明：本文之著作權由Penta Lab持有。任何商業性質的複製、分發或傳播，均需事先取得Penta Lab明確的書面授權。對於非商業性的信息傳播，必須保留並明確註明本作品的原始出處和Penta Lab信息。本文內容反映的僅為Penta Lab觀點，並不代表推薦任何投資行為。本文提及的任何標的均不構成投資建議。投資者應基於自身獨立判斷作出投資決策，且需自行承擔相應投資風險。市場存在風險，投資需謹慎。来源：金色财经

金色财经02-03 13:32

金色早报 | 全球以太坊ETF81%为欧洲产品币安将合规支出增加同比增长35%

，但流出速度明显放缓。 ▌5000万枚USDC在USDC Treasury被铸造据Whale Alert监测，大约半小时前，5000万枚USDC在USDC Treasury被铸造，价值50,005,000美元。 ▌21Shares：ARKB总资产管理规模突破7亿美元 21Shares最新数据显示，ARK 21Shares现货比特币ETF（ARKB）今日产生了22,574,921美元的净新资产，总资产管理规模为705,842,538美元，当前持有16,415枚比特币，五日移动平均交易额超过8602万美元。 ▌WisdomTree COO称其消费者App提供比ETF更好的持有比特币的方式彭博资讯的数据显示WisdomTree在比特币现货ETF流入量方面落后于其他发行商，WisdomTree首席运营官Jarrett Lilien对此表示，该公司的消费者应用程序提供了比ETF更好的持有比特币的方式。他说：“我们对自己的能力和在增长管理资产方面的记录充满信心，这确实需要时间，尤其是在我们的ETF模型中，因为这些产品尚未在许多顾问平台上提供，而我们希望在这些平台上看到大部分流量。” WisdomTree去年推出了 WisdomTree Prime 应用程序，为用户提供以及美元和黄金代币、比特币 (BTC) 和以太坊 ( ETH )的访问权限。 ▌AdvisorShares允许AdvisorShares Gerber Kawasaki ETF将最多5%的ETF资产投资于其他比特币ETF 投资管理公司AdvisorShares向美国证券交易委员会（SEC）披露新策略、风险等的信息，允许AdvisorShares Gerber Kawasaki ETF将最多5%的ETF资产投资于其他比特币ETF。金色财经此前报道，投资管理公司AdvisorShares向美国证券交易委员会（SEC）提交比特币ETF申请文件，计划在NYSEArca上提供AdvisorShares Managed Bitcoin ETF（交易代码：CRYP）。该ETF为主动管理ETF，将不会直接投资于BTC。重要经济动态 ▌非农数据公布前美联储3月降息的概率为35.5% 据CME“美联储观察”：美联储3月维持利率在5.25%-5.50%区间不变的概率为64.5%，降息25个基点的概率为35.5%。到5月维持利率不变的概率为8.5%，累计降息25个基点的概率为60.7%，累计降息50个基点的概率为30.8%。金色百科 ▌撤销智能合约意味着什么？撤销智能合约通常意味着禁用或终止其在区块链上的功能。例如，撤销可能会阻止访问用户的加密钱包和移动代币的能力。此外，撤销智能合约会停止查看用户代币余额或公共地址的权限。免责声明：金色财经作为区块链资讯平台，所发布的文章内容仅供信息参考，不作为实际投资建议。请大家树立正确投资理念，务必提高风险意识。来源：金色财经

金色财经02-03 09:33

风险被忽视：累计融资4250万美元背后市场对Portal的预期过高

的跨链原子交换功能，ETH、USDT、USDC甚至是其他以太坊Layer2资产，也能够在LFG甚至整个BTC生态中自由通兑。对此，Portal表态称目前正积极接入更多的公链、钱包和其他链上的DeFi项目。那么，为何Portal DEX能提供如此复杂的跨链交易功能呢？这主要归功于Fabric协议。 Fabric本身是一个开源的用于比特币上搭建的抗审查层的协议，可以理解为比特币的Layer2 方案，Portal正是基于Fabric 进行构建。正因如此，Portal继承了Fabric的可抗审查、高效、可信、去金融化以及跨链互操等诸多优势，同时Portal还继承了比特币Layer1的安全性。但Portal官方表态称，该团队在Fabric基础上对其功能做出了一系列拓展，包括延展了其数据计算功能，这可能在后期有助于搭建BTC链上的游戏项目，当然目前来看这只是一个规划。另外，Portal公布融资消息的同时也宣称，未来几个月还将推出一款人工智能驱动的投资应用程序，帮助用户利用人工智能技术做出智能投资决策。目前Portal官方并为过多透露这一AI投资工具的详情，但是从官网的信息来看，这款工具很可能是基于现有的Rafa进行升级的。据官网内容，Rafa是一个帮助用户实现自动化交易的APP，其官方推特上时常会给用户推荐各种新的资产，目前具体的收益率情况不得而知。风险不容忽视：2024开局虽好，但Portal的前景可能远不及预期般光明总结来看，Portal在2024年赢得了一个理想的开局，4000多万美元的巨额融资在熊市环境下已远高行业平均水平，并且其锚定的比特币链上生态赛道仍然有多重机会，但是Portal面临的风险也不容忽视。首先，铭文赛道的热度已经趋冷，红海效应已经开始显现。同时，以太坊坎昆升级将至，版块轮动之下更多热钱或将从比特币生态转移至以太坊生态；其次，大盘形势也远不如去年12月底的状况，比特币现货ETF通过后行业利空出尽，资金出逃，这将直接传导至Portal后期的项目运营中；最后，Portal目前在生态建设方面最关键的进展是与前文提到的LFG深度绑定，但LFG本身也是个初创项目，其交易量和用户数并不理想，这就引出了一个更深层次的问题：用比特币链上生态的资产通兑其他公链，是否为一种伪需求？因为比特币生态目前并未诞生出实际意义的应用，更多从业者也诟病其炒作性，若赶上趋冷的整体行情，Portal对标的细分市场或将鲜有绝佳的机遇出现。综上，我们认为用户在参与Portal生态及BRC-20项目的同时，需要对整体行情和细分赛道保持信息敏感度，多维了解生态中的详情，将有助于我们的决策判断。来源：金色财经

金色财经02-02 20:54

金色观察 | 交易所争上的Solana生态交易聚合器Jupiter(JUP)究竟有何特殊

Launchpool中的所有代币（包括USDC/JUP）也都将进入团队财库或用于LP。此外，Jupiter在社区文档中详细记录了全部JUP代币的流入和流出信息，Jupiter没有推高价格。其次项目方积极做事，不断在产品和服务上推陈出新。 Jupiter提供多种DeFi工具，如：掉期：提供支付 API，用于指定确切输出代币金额；限价订单：允许用户设置特定价格的订单；DCA（美元成本平均）：针对定期投资策略的工具；Jupiter Launchpad：为新项目提供的发行平台。除上述工具外，1月23日，Meow宣布推出Jupiter LFG Launchpad的Beta版本。从2月1日起，Jupiter DAO将批准新项目加入Launchpad，并负责确保这些项目值得推广给所有Jupiter用户，以尽可能使项目成功。去年7月，Jupiter推出V3版本，引入路由算法Metis。以改善Jupiter对所有交易对的路由发现，降低了大额交易的滑点，并为即将到来的Solana升级以及更多新的DEX提供可扩展性。同时，项目方也非常注重对社区建设。去年12月Jupiter启动了“Good Cats”空投奖励计划，以感谢社区成员在其 Breakpoint 公告期间对Jupiter的积极贡献。此外，正式空投中的JUP代币的40%也被分配给了社区，而在具体的分配细则上，项目方也表示会和社区协商来定，不会随意空投。结语从近期Jupiter在市场上传递的信息可以看出项目方有着更为长远的发展规划，同时其产品和服务上也没有停留在单项业务上，而是积极收集社区意见进行革新。因此仅在项目构建上可以看出其有着项目开发者的格局。而Solana链素有“以太坊杀手”之称，未来如果真有超越以太坊的一天，那么其链上王牌项目Jupiter必然也会有收益飞升的可能。来源：金色财经

金色财经02-02 13:37

Penta Lab 研報 - Gains Network 獨具創新的高槓桿低費用永續加密合約交易平臺

款功能加速打開交易量天花板。資金池會從USDC、ETH或DAI，V7新版本將引入流動性收益代幣gUSDC和gETH。Gains Network還透露過去18個月gTrade處理了超過138萬筆交易，總交易量為564億美元，費用收入達到3800萬美元。多重機制控制交易風險，自製預言機確保穩健發展。Gains Network在交易端提供了三種控制風險的機制，包括 1）Dynamic Spread/Price Impact（價差/价格冲击）用於防止價格操縱攻擊並促進小型貨幣的上市交易；2）Rollover Fee（展期費用）用於控制交易者的杠桿和風險；3）Borrowing Fee（借貸費用）用於平衡多空比例，避免過度的單邊風險暴露。同時，Gains Network建立了一個混合架構，結合了Chainlink Price Feeds和自製的Chainlink去中心化預言機網絡(DON)，8 个节点将分别向将 7 个交易所的索取價格，從而可以有效地過濾異常值並且避免價格操縱，為其高槓桿交易產品提供安全、準確、即時的聚合價格。代幣淨通貨緊縮機制以及協議收益分成增厚持有者利益。於 GNS 持有者希望賺取質押收益，單邊質押將促使更多 GNS 代幣退出流通。賺取的收益以 $DAI 計價，而非通過通貨膨脹鑄造更多 GNS 代幣。估值：雖然GNS的TVL體量只有GMX不到7％，但是市值比上TVL的比值卻已經是GMX的三倍，隱含了市場對於其借貸效率，增長潛力以及安全性的認可。六個月維度我們認爲隨著gETH和eUSDC納入以及新功能拓展，TVL有機會突破一億美元大關，根據過去兩年歷史平均市值/TVL的比值为4.84，得到六個月预估市值4.84亿美元。風險提示：資金池管理風險，擠兌風險，被攻擊風險聲明：本文之著作權由Penta Lab持有。任何商業性質的複製、分發或傳播，均需事先取得Penta Lab明確的書面授權。對於非商業性的信息傳播，必須保留並明確註明本作品的原始出處和Penta Lab信息。本文內容反映的僅為Penta Lab觀點，並不代表推薦任何投資行為。本文提及的任何標的均不構成投資建議。投資者應基於自身獨立判斷作出投資決策，且需自行承擔相應投資風險。市場存在風險，投資需謹慎。来源：金色财经

金色财经02-01 22:27

著名 a16z VC Chris Dixon 谈技术乐观主义、无许可创新和加密货币的必要性

。 CBDC？我对这些并不乐观。以 USDC 的情况为例；稳定币表明数字美元有多受欢迎，对吗？我的意思是，价值数万亿美元的交易是通过稳定币进行的。在基础设施层，包括 L2s [第 2 层] 和其他区块链方面，已经有很多出色的工作，我认为私营部门将会找到高质量的技术解决方案。显然，我们需要对美元的使用进行监管。但这与让政府尝试实际构建软件不同。加密领域的风险投资资金。被高估、被低估？我的意思是——我知道我们在 Twitter 上收到了很多废话，但我的观点是，尤其是在加密货币冬季……让我告诉你，我们从 2017-18 年底开始启动了第一个加密货币基金，但当时并没有加密领域的融资并不多。我们做了Compound的种子轮和A轮融资，也为Uniswap做了A轮融资。我们资助了很多 NFT 项目，我想可以追溯到 2017 年。我共同领导了 Dapper 和 CryptoKitties 的 A 轮融资。所以我认为风险投资可以在资助事物方面发挥重要作用。那可能不受欢迎。风险投资的本质是我们有一个非常长期的时间跨度——10年基金——所以我们能够在其他人无法提供资金的情况下提供资金。这种坚持和承诺有时会被忽视，尤其是在资金流动的繁荣时期。当然，风险投资可以意味着很多东西，而且有很多不同的公司——有些人称自己为风险投资公司，但实际上他们更像是对冲基金或交易员。但我们卷起袖子，我认为在创业生态系统中发挥着宝贵的作用。您在 a16z 的基金自主运营。假设在 10 年内，如果加密货币增长，您是否认为加密货币基金会进一步多元化，拥有专门专注于 DeFi 或区块链社交媒体的数十亿美元基金？我希望区块链成为新互联网创新的代名词。在这种情况下，我不知道我们到底如何构建它，但如果你把它比作 90 年代的互联网，有互联网基金和互联网投资者，然后，随着时间的推移，出现了更专注的消费者互联网、金融科技和企业投资者。理想情况下，这会发生在这里。来源：金色财经

金色财经02-01 21:37

24小时热点