前言
据链闻消息，DeFi项目YFValue发布公告称，团队于昨日在YFV质押池中发现一个漏洞，恶意参与者借此漏洞对质押中的YFV计时器单独重置。目前已有一个恶意参与者正试图借此勒索团队。慢雾安全团队对此进行了深入分析，以下是相关技术细节。
细节分析
分析了一大堆，回到我们最初的问题，恶意的用户是怎么锁定其他用户的资产的呢？
回到用户抵押的逻辑，可以发现抵押逻辑中的stakeOnBehalf函数本意是帮助进行抵押，但是这里有个问题，如果这个用户先前已经有抵押了呢？那通过对已经抵押的用户再次进行抵押，比方说抵押1个YFV，是不是就能以极低的成本重置已抵押的用户的计时器，导致用户在withdraw时无法成功调用。更进一步，假设YFV抵押用户已经成功调用了stakeReward函数，在快要达到unfrozenStakeTime所规定的时间时，恶意的用户可以通过stakeOnBehalf函数给这个用户抵押少量资产，即可再次对抵押奖励进行锁定，理论上这样往复循环，即可使用户无法取出自己的资产，但这个问题并不会导致资金损失。攻击流程如下：
前车之鉴
这是本月出现的第二个没有经过审计的DeFi项目所暴露出的风险，根据YFValue的官方声明(https://medium.com/@yfv.finance/yfv-bringing-true-value-to-yield-farming-bddc4edf889a)，项目代码是由富有经验的开发者进行开发的，同时借鉴了其他成功的项目的代码，但是仍无可避免的出现了风险。术业有专攻，安全审计一方面需要项目方的正向思维，另一方面，还是需要专业的安全团队的逆向思维，从专业的黑客角度进行模拟对抗，发现问题。
修复方案
通过分析代码和漏洞细节，针对本次漏洞，修复方案也很简单，只要在抵押的时候检查用户的抵押状态是否为已经抵押，如果已经抵押，则不允许再次抵押。或者对每次的抵押进行单独的处理，不能对先前的抵押状态产生影响。
标签：STAKSTASTAKEVALStakingbStable FinanceDiversified Staked Ethereum Indexvalue币团队跑路
8月25日,Filecoin太空竞赛启动,全球约300名矿工参与角逐,目的是进行压力测试并发现问题,同时争夺官方提供的400万枚FIL奖励.
原文：https://wiki.polkadot.network/docs/en/maintain-polkadot-parameters翻译：PolkaWorld社区波卡许多参数值可以通过链上.
本文来源：区块链大本营 原文作者：AlbertoCuestaCa?ada 翻译：火火酱 由于所有已部署合约都有24KB的硬限制,所以除了少数极其简单的应用程序外.
作者：irishash 随着美国股市再次遭遇抛售,加密货币市场抹去了上周的收益,目前已经连续第三天下跌,而比特币矿工卖出BTC数量减少了,囤币指数又开始出现上升.
数据分析师?|Carol?编辑|毕彤彤出品|PANewsDeFi已经进入了“农耕时代”。此时,“农民”们“种瓜”得到的已经不止是“瓜”,还有更值钱的“宝石”.
来源：人民数字FINTECH“孤寡孤寡孤寡孤寡孤寡孤寡孤寡......”相比往年,今年七夕的朋友圈中,秀恩爱的没看见几对,倒是多了“蛙声一片”.
链资讯
internal{</p>
<p> _totalSupply=_totalSupply</p>
<p> 分析 | 75％的千禧一代更愿意与加密货币知识渊博的人约会:据bitcoin.com报道，最近的一项研究表明，超过75％的千禧一代更愿意与加密货币知识渊博的人约会。尽管如此，有12％的受访者宁愿与非暴力犯罪者约会，也不会与那些将所有储蓄用于投资加密货币的人约会。此外，受访者中40％表示目前拥有加密货币。按性别来看，男性中有48％，女性中有26％称自己目前拥有加密货币。[2018/8/1]</p>
<p> 可以看到这里只是简单的把对应的token用transferFrom的方式转入到合约中，没有什么特别的逻辑点。到这里整个抵押流程就很清晰了，接下来是收益的过程。计算用户收益的是stakeReward函数，领取收益的为withdraw函数，代码分别如下：</p>
<p> 分析 | NewsBTC：BCH下一支撑位在717美元:据NewsBTC分析师Aayush Jindal分析，BCH在今日失守730美元支撑位后，将有可能继续下移至700美元。行情显示，BCH今日上午8点左右拉升至780美元，随后震荡下跌。RSI现报40.73，显示超卖。面对抛售压力，BCH曾一度靠近50%斐波那契回撤位，其最近的支撑位约在76.4%斐波那契回撤附近（717美元）。数据显示，BCH现报725美元，跌幅3.22%。[2018/7/10]</p>
<p> functionstakeReward()publicupdateReward(msg</p>
<p> 通过分析计算收益和领取收益的代码，发现逻辑也很简单，stake函数首先是通过updateReward修饰器更新了用户的奖励，然后使用getReward函数计算了用户的奖励，并把抵押时间设置成当前区块时间。最后，用户在提取奖励的时候，withdraw函数会首先计算当前的区块时间，再与unfrozenStakeTime函数中计算出的时间进行对比，只有当前区块时间大于unfrozenStakeTime计算出的时间，才允许提现。unfrozenStakeTime的代码如下：</p>
<p> 分析 | BTC无法突破阻力位 空头势力增强:据Coinness作者W分析，从4小时图上看，BTC仍徘徊在上升通道底部，无法实现突破。布林带继续收窄，BTC已向下试探布林带下轨（$6442.56），上升阻力较大。MACD 4小时图已经背离，红柱体表现稳定，日线图上，成交量也显示出微弱背离，空头势力逐步增强。若收盘低于支撑位$6442.56，将会被空头占领。但如果收盘高于$6743.2（斐波那契23.6%），则依然看涨。[2018/7/6]</p>
<p> functionunfrozenStakeTime(addressaccount)publicviewreturns(uint256){</p>
<p> returnlastStakeTimes+FROZEN_STAKING_TIME;</p>
<p> }</p>
<p> 从代码中得知，unfrozenStakeTime是使用用户的上次抵押时间加上FROZEN_STAKING_TIME常量得出锁定时间，只要超过时间，就能通过withdraw函数提现收益。整个抵押和领取收益的简化流程如下：</p>
<p> <img alt=)