前言
北京时间2022年2月5日晚，Meter.io 跨链协议遭到攻击，损失约 430 万美元。知道创宇区块链安全实验室 第一时间跟踪本次事件并分析。
分析
基础信息
tx（Moonriver）：0x5a87c24d0665c8f67958099d1ad22e39a03aa08d47d00b7276b8d42294ee0591
攻击者：0x8d3d13cac607B7297Ff61A5E1E71072758AF4D01
Bridge：0xFd55eBc7bBde603A048648C6eAb8775c997C1001
同道大叔十二星座《嘻哈一夏》数字藏品，明日15:00于金色数藏平台开售:据官方消息，金色数藏平台将于7月8日15:00，公开发售同道大叔十二星座《嘻哈一夏》数字藏品。本系列基于同道大叔最具商业价值的十二星座IP创作，发行其中典藏版金牛座500份，其他11款数字藏品各2000份，详情查看原文链接。金色数藏是由金色财经孵化，依托腾讯至信链为底层技术的元宇宙数字艺术文化收藏平台。[2022/7/7 1:57:55]
ERC20Handler（depositHandler）：0x5945241BBB68B4454bB67Bd2B069e74C09AC3D51
漏洞原理
漏洞关键在于跨链桥合约的deposit函数中，deposit函数会根据resourceID取相应的depositHandler，并调用deposit函数进行实际的质押逻辑。
而在depositHandler的deposit函数中，存在逻辑缺陷，当tokenAddress不为_wtokenAddress地址时进行 ERC20 代币的销毁或锁定，若为_wtokenAddress则直接跳过该部分处理。
该存在缺陷的逻辑判断可能基于在跨链桥合约中的depositETH函数会将链平台币转为wToken后转至depositHandler地址，所以在depositHandler执行deposit逻辑时，已处理过代币转移，故跳过代币处理逻辑。
但跨链桥合约的deposit函数中并没有处理代币转移及校验，在转由deposiHandler执行deposit时，若data数据构造成满足tokenAddress == _wtokenAddress即可绕过处理，实现空手套白狼。
总结
本次攻击事件核心原因在于 Meter.io 跨链桥 depositHandler质押处理器中，存在逻辑判断缺陷，满足了跨链桥合约depositETH的逻辑场景，但忽视了deposit逻辑场景存在绕过缺陷。
近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
据官方公告,币安即将上线第 28 个项目 STEPN（GMT）,并开启 BNB 专场,此次售卖将基于投入模式,币安将根据用户 7 日的 BNB 日平均持仓确定用户可投入额度。BNB 持仓快照周期：3 月 2 日 08:00 至3 月9 日 08:00（东八区时间）,详情可参见币安官网。
从DeFi、NFT等基础板块进一步爆发后,除了为Web3后续的进程奠定了基础外,也预示着行业将进一步的向多链体系发展。生态与生态之间从早期的竞争关系,逐渐的过渡到协作关系且相互形成增益,尤其是跨链技术的进一步发展,生态与生态之间的联系更加紧密,且不同的生态的定位、所承担的职能互补。
长久以来,传统的AMM模式一个很大的问题就在于协议平台和LP之间的冲突。因为LP的收益率实际上和所提供的流动性资金量大小并不成正比,协议所发放代币市场价值的缩水,和交易对在市场波动中形成的无常损失,都会使LP蒙受“塌矿”的风险。
Waves已是TVL前十的智能合约平台,USDN市值约6.8亿美元,可获得年化15%左右的稳定币质押收益。 什么是Neutrino Protocol？ Neutrino是一个算法稳定币协议,它建立在Waves区块链上,以Waves的原生代币WAVES为抵押品。 通过将WAVES代币锁定在智能合约中,可以铸造USDN（USD-Neutrino）稳定币。
在 Lido 协议中质押 ETH 可赚取 12% 至 14% 的年化收益 Feb. 2022, Vincy Data Source: Footprint Analytics - Lido Dashboard Lido 是基于 Ethereum 2.0 Beacon Chain 上建造的平台。
亲爱的Bankless国民： 如果我们今天问一千个人关于元宇宙的定义,我们可能会得到一千个不同的答案。有些人会说它一个平台,有的人会说它是一个视频游戏,还有更多的人可能会争论"元宇宙"的概念。
链资讯