漏洞原因
近日,据业内人士提供的有关信息,名为KingDefi的项目合约存在漏洞,并提示其他用户谨慎操作,提取资金并取消授权。知道创宇区块链安全实验室调研发现,KingDeFi是一个DeFi项目,主要功能包含对BSC、Solana链上DeFi的收益聚合分析、用户DeFi收益追踪以及项目原生代币的抵押挖矿。
在查看BSC链上的KrownMaster合约源码后发现,该合约确实存在逻辑漏洞,会导致用户收益率受到影响,在相应的计算逻辑存在疏漏,以下为详细解释。合约链上地址如下:https://bscscan.com/address/0x56a65a3736e65349e5b0737cb2c5eb7d5ccbbbe3#code如下图所示,我们注意到在项目用户奖励更新算法逻辑的处理过程中存在对investor数组的一个遍历,此处investor地址存在被重复遍历并且修改对应奖励的可能性。
Composable Finance和HydraDX合作构建借贷对协议:金色财经报道,据官方消息,Composable Finance和HydraDX团队合作成立了一家合资企业,以构建Angular Finance,这是一种基于Substrate的独立借贷对协议。双方希望能够在2021年第四季度末之前推出Angular Finance。据悉,Angular将部署在Picasso Kusama平行链上。[2021/9/19 23:35:45]
GateChain桌面版支持测试网PoS代理挖矿及进展更新:据官网公告,Gate.io公布GateChain近期开发进展,目前正在进行主网上线前最后一个测试网Testnet 4.0的密集测试。更新内容有:1. devnet增加到100个节点后,压力测试已经稳定运行一周;2. 解决了TPS>1000时,网络差的节点不稳定的问题;3. GT桌面钱包、硬件钱包完成相关功能开发;4. PoS委托相关API联调;5. 增加交易体Hash签名流程;6. 完善GateChain节点监控工具;7. 增加网络节点拓扑结构可视化及监控;8. GateChain功能第2次回归测试完成(主网上线前还需要进行两次);9. GateChain命令行和API,变量命名规范和文档更新;10. Gatemint代码单测和代码规范进一步完善。
目前,GateChain已在测试网上线PoS挖矿委托功能,方便用户一键委托自己的GT权重到目标挖矿节点。详情见原文链接。[2020/6/18]
如下图所示,用户在通过deposit调用进行抵押的时候,判断当用户抵押数量为0时,可作为investor地址加入投资收益列表从而获得抵押收益,而该判断可被黑客利用。
动态 | Square推出PoS终端 市场猜测进一步整合比特币支付功能:消费者和商家支付网络Square于10月19日推出了一个PoS终端,市场猜测该PoS终端或将进一步完善比特币支付功能。[2018/10/20]
如下图所示,黑客可通过调用withdraw或者withdrawAll函数将指定pid池子中的抵押数量提现,从而使得user.amount为0,进而该地址可以在再次deposit抵押的时候通过相应检查进入investor列表,从而在updatePool函数中对黑客investor地址进行重复遍历并且增加多次抵押奖励,使得抵押奖励分配不均,影响到其他用户的抵押挖矿收益。
美联储戴利:在9月加息50个基点是合理的:8月3日消息,美联储戴利表示,在9月加息50个基点是合理的,但如果看到通胀一直飙升,那么加息75个基点或许更合适。[2022/8/4 2:57:46]
通过查看项目github发现,KingDefi项目方当前已对该问题进行了修改。漏洞修复
那么项目方如何修复该漏洞?查看项目的github地址(https://github.com/kingdefi/Krown-Contracts/tree/main/Farm),发现其在18个小时前曾更新过代码,对比一下更新代码。
发现项目方已经删除了用于存储用户地址的数组,改为了rewardsPerShare变量,该变量表示单位抵押代币所对应的奖励代币;同时项目方也更改了奖励的计算方式(updatePool函数):由原来循环所有用户地址来按比例分配奖励改为更新rewardsPerShare变量来计算用户奖励代币。
对比两种奖励方式,后者已经不会产生前者因为重复计算奖励的问题,这种奖励方式类似于sushiswap的奖励计算方式,同时也避免了前者因为循环次数太多导致的gas销毁过大的问题。漏洞总结
Kingdefi这次的漏洞影响到的是用户的奖励代币数量,攻击者可不断抵押提取来提高自身奖励的分配数量,但是用户的抵押代币是不受任何影响,可以正确安全提取出来。从项目方的修复结果来看,其换了一种常规奖励计算方式,该方式符合抵押挖矿逻辑,用户可正常且正确提取抵押和奖励代币。在此提醒广大项目方,在上线Defi挖矿项目前一定要做好代码审计,不同的计算方式在吸引新用户的同时也会大大增加犯错的风险!i
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。