Force DAO 代币增发漏洞简析

据慢雾区消息，DeFi 量化对冲基金 Force DAO 项目的 FORCE 代币被大量增发。经慢雾安全团队分析发现： 在用户进行 deposit 操纵时，Force DAO 会为用户铸造 xFORCE 代币，并通过 FORCE 代币合约的 transferFrom 函数将 FORCE 代币转入 ForceProfitSharing 合约中。但 FORCE 代币合约的 transferFrom 函数使用了 if-else 逻辑来检查用户的授权额度，当用户的授权额度不足时 transferFrom 函数返回 false，而 ForceProfitSharing 合约并未对其返回值进行检查。导致了 deposit 的逻辑正常执行，xFORCE 代币被顺利铸造给用户，但由于 transferFrom 函数执行失败 FORCE 代币并未被真正充值进 ForceProfitSharing 合约中。最终造成 FORCE 代币被非预期的大量铸造的问题。 此漏洞发生的主要原因在于 FORCE 代币的 transferFrom 函数使用了`假充值`写法，但外部合约在对其进行调用时并未严格的判断其返回值，最终导致这一惨剧的发生。慢雾安全团队建议在对接此类写法的代币时使用 require 对其返回值进行检查，以避免此问题的发生。

BAYC：HV-MTL Forge Rift将于9月7日开放:金色财经报道，“无聊猿”BAYC在官方社交媒体宣布HV-MTL Forge Rift将于9月7日开放，并且分享了进入“Rift”所需要了解的信息，HV-MTL 持有者和他们的机甲应该继续“积聚能量”并“构建瓷砖”，直到他们在熔炉中看到 Rift 门户，这些额外的能量将使玩家能够进入裂谷并进行额外的 lHV-MTL 升级。HV-MTL 持有者和他们的机甲要穿过裂谷，这样就可以参加“突袭首领之战”并获得APE奖励。[2023/8/27 12:59:00]

金色沙龙丨ForTube联合创始人：区块链通过价值确权，使得数据的拥有权发生了变更:在本期金色沙龙上，The Force Protocol&ForTube联合创始人David Lei发言指出：区块链是价值互联网，和传统的互联网最大的区别就是，区块链通过价值确权，使得数据的拥有权发生了变更。传统互联网巨头可以通过不断扩大其平台，从而将用户锁定到自家的应用中，所有的数据不对外开放，实现信息的垄断。其根本原因就是在传统互联网模式下面，信息的所有权没有在用户手上，而是在提供信息服务的互联网平台。

在区块链世界，信息或者说数据的所有权转变到了用户这里，因为所有的区块链数据都具有自身价值，是资产，而这些价值是在用户的钱包和账户体系里面。协议层是这些数据价值的载体，而应用则成为了普通的读取和存储界面，最多是价值的流通管道，这一点和传统互联网的模式可谓翻天覆地的变化。[2020/3/25]

思科系统为增强保护员工设备免受勒索强化“AMP for Endpoints”:思科系统（Cisco Systems）于4月16日（美国时间）宣布更新?“Cisco Advanced Malware Protection（AMP）for Endpoints”，这将增强保护员工设备免受勒索软件的能力，以及虚拟货币挖掘恶意软件的能力，并且还宣布了新的电子邮件安全服务。[2018/4/17]

相关资讯