近期，我们发现多起关于eth_sign签名的钓鱼事件。钓鱼网站1：https://moonbirds-exclusive
;//RLPencodeconstrawTransaction=rlp
;//RLPencodeconstsignedRawTransaction=rlp.encode();而如上所述，eth_sign方法可以对任意哈希进行签名，那么自然可以对我们签名后的bytes32数据进行签名。因此攻击者只需要在我们连接DApp后获取我们的地址对我们账户进行分析查询，即可构造出任意数据让我们通过eth_sign进行签名。这种钓鱼方式对用户会有很强的迷惑性，以往我们碰到的授权类钓鱼在MetaMask会给我直观的展示出攻击者所要我们签名的数据。如下所示，MetaMask展示出了此钓鱼网站诱导用户将NFT授权给恶意地址。
慢雾：BXH于BSC链被盗的ETH、BTC类资产已全部跨链转至相应链:11月3日消息，10月30日攻击BXH的黑客（BSC: 0x48c94305bddfd80c6f4076963866d968cac27d79）在洗币过程中，多次使用了 AnySwap、PancakeSwap、Ellipsis 等兑换平台，其中部分 ETH 代币被兑换成 BTC。此外，黑客现已将 13304.6 ETH、642.88 BTCB 代币从 BSC 链转移到 ETH、BTC 链，目前，初始黑客获利地址仍有 15546 BNB 和价值超 3376 万美元的代币。慢雾 AML 将持续监控被盗资金的转移，拉黑攻击者控制的所有钱包地址，提醒交易所、钱包注意加强地址监控，避免相关恶意资金流入平台。[2021/11/3 6:28:49]
慢雾：BTFinance被黑，策略池需防范相关风险:据慢雾区情报，智能DeFi收益聚合器BT.Finance遭受闪电贷攻击。受影响的策略包括ETH、USDC和USDT。经慢雾安全团队分析，本次攻击手法与yearnfinance的DAI策略池被黑的手法基本一致。具体分析可参考慢雾关于yearnfinace被黑的技术分析。慢雾安全团队提醒，近期对接CurveFinance做相关策略的机池频繁遭受攻击。相关已对接CurveFinance收益聚合器产品应注意排查使用的策略是否存在类似问题，必要时可以联系慢雾安全团队协助处理。[2021/2/9 19:19:41]
而当攻击者使用eth_sign方法让用户签名时，如下所示，MetaMask展示的只是一串bytes32的哈希。
慢雾：Cover协议被黑问题出在rewardWriteoff具体计算参数变化导致差值:2020年12月29日，慢雾安全团队对整个Cover协议被攻击流程进行了简要分析。
1.在Cover协议的Blacksmith合约中，用户可以通过deposit函数抵押BPT代币；
2.攻击者在第一次进行deposit-withdraw后将通过updatePool函数来更新池子，并使用accRewardsPerToken来记录累计奖励；
3.之后将通过_claimCoverRewards函数来分配奖励并使用rewardWriteoff参数进行记录；
4.在攻击者第一次withdraw后还留有一小部分的BPT进行抵押；
5.此时攻击者将第二次进行deposit，并通过claimRewards提取奖励；
6.问题出在rewardWriteoff的具体计算，在攻击者第二次进行deposit-claimRewards时取的Pool值定义为memory，此时memory中获取的Pool是攻击者第一次withdraw进行updatePool时更新的值；
7.由于memory中获取的Pool值是旧的，其对应记录的accRewardsPerToken也是旧的会赋值到miner；
8.之后再进行新的一次updatePool时，由于攻击者在第一次进行withdraw后池子中的lpTotal已经变小，所以最后获得的accRewardsPerToken将变大；
9.此时攻击者被赋值的accRewardsPerToken是旧的是一个较小值，在进行rewardWriteoff计算时获得的值也将偏小，但攻击者在进行claimRewards时用的却是池子更新后的accRewardsPerToken值；
10.因此在进行具体奖励计算时由于这个新旧参数之前差值，会导致计算出一个偏大的数值；
11.所以最后在根据计算结果给攻击者铸造奖励时就会额外铸造出更多的COVER代币，导致COVER代币增发。具体accRewardsPerToken参数差值变化如图所示。[2020/12/29 15:58:07]
总结
本文主要介绍eth_sign签名方式的钓鱼手法。虽然在签名时MetaMask会有风险提示，但若结合钓鱼话术干扰，没有技术背景的普通用户很难防范此类钓鱼。建议用户在遇到此类钓鱼时提高警惕，认准域名，仔细检查签名数据，必要时可以安装安全插件，如：RevokeCash、ScamSniffer等，同时注意插件提醒。原地址
标签：WARREWARDREWARDSETHWar Bond TokenRewards TokenRewards BunnyEthanol
借贷一直是DeFi的重要组成部分。根据其运行机制,可以大致分为两类,一类是抵押借贷,即抵押资产借出资产,另一类是抵押铸币,即抵押资产铸造稳定币.
头条 Aptos公布代币经济学：51.02%分配给社区,投资者锁定4年,前12个月不分发APTOdaily星球日报讯Aptos代币分配公布,APT总量10亿枚,精度为8位.
2022SmartCon邀请到150多位演讲嘉宾,带来100多场演讲分享。本届大会将Web2和Web3行业的大咖齐聚一堂,讨论如何推动信任最小化迎来下一次关键转折点.
Odaily星球日报译者|念银思唐 摘要： -Celsius上周提供了一批包含债权人信息的文件,一些人担心这些文件可能容易受到网络威胁.
在过去十年中,区块链已成为分布式账本技术的一种主要形式。虽然区块链目前仍占据主导地位,但其存在固有的可扩展性问题,因此有越来越多的项目正在提出替代性解决方案.
10月24日,苹果更新了海外版AppStore审核指南,并在3.1.1添加了NFT与加密货币相关规则。 App可以使用应用内购买进行销售以及销售NFT相关服务,如铸造、挂单和转让.
区块见闻