Forwarded from Steven 👼
Transit Swap 被黑简析 By SlowMist
据慢雾安全团队情报,2022 年 10 月 2 号 BSC 链上的 Transit Swap 项目攻击,导致用户资产被非预期的转出。慢雾安全团队以简讯形式分享如下:
1. 当用户在 Transit Swap 进行 swap 时,会先通过路由代理合约(0x8785bb...)根据不同的兑换类型选择不同的路由桥合约。随后路由桥合约(0x0B4727...)会通过权限管理合约(0xeD1afC...)的 claimTokens 函数将用户待兑换的代币转入路由桥合约中。因此在代币兑换前用户需要先对权限管理合约(0xeD1afC...)进行授权。
2. 而 claimTokens 函数是通过调用指定代币合约的 transferFrom 函数进行转账的。其接收的参数都由上层路由桥合约(0x0B4727...)传入,本身没有对这些参数进行任何限制只检查了调用者必须为路由代理合约或路由桥合约。
3. 路由桥合约(0x0B4727...)在接收到用户待兑换的代币后会调用兑换合约进行具体的兑换操作,但兑换合约的地址与具体的函数调用数据都由上层路由代理合约(0x8785bb...)传入,路由桥合约并未对解析后的兑换合约地址与调用数据进行检查。
4. 而代理合约(0x8785bb...)对路由桥合约(0x0B4727...)传入的参数也都来自于用户传入的参数。且代理合约(0x8785bb...)仅是确保了用户传入的 calldata 内各数据长度是否符合预期与所调用的路由桥合约是在白名单映射中的地址,未对 calldata 数据进行具体检查。
5. 因此攻击者利用路由代理合约、路由桥合约与权限管理合约均未对传入的数据进行检查的缺陷。通过路由代理合约传入构造后的数据调用路由桥合约的 callBytes 函数。callBytes 函数解析出攻击者指定的兑换合约与兑换数据,此时兑换合约被指定为权限管理合约地址,兑换数据被指定为调用 claimTokens 函数将指定用户的代币转入攻击者指定的地址中。实现了窃取所有对权限管理合约进行授权的用户的代币。
此次攻击的主要原因在于 Transit Swap 协议在进行代币兑换时并未对用户传入的数据进行严格检查,导致了任意外部调用的问题。攻击者利用此任意外部调用问题窃取了用户对 Transit Swap 授权的代币。
参考交易:
https://bscscan.com/tx/0x181a7882aac0eab1036eedba25bc95a16e10f61b5df2e99d240a16c334b9b189
据慢雾安全团队情报,2022 年 10 月 2 号 BSC 链上的 Transit Swap 项目攻击,导致用户资产被非预期的转出。慢雾安全团队以简讯形式分享如下:
1. 当用户在 Transit Swap 进行 swap 时,会先通过路由代理合约(0x8785bb...)根据不同的兑换类型选择不同的路由桥合约。随后路由桥合约(0x0B4727...)会通过权限管理合约(0xeD1afC...)的 claimTokens 函数将用户待兑换的代币转入路由桥合约中。因此在代币兑换前用户需要先对权限管理合约(0xeD1afC...)进行授权。
2. 而 claimTokens 函数是通过调用指定代币合约的 transferFrom 函数进行转账的。其接收的参数都由上层路由桥合约(0x0B4727...)传入,本身没有对这些参数进行任何限制只检查了调用者必须为路由代理合约或路由桥合约。
3. 路由桥合约(0x0B4727...)在接收到用户待兑换的代币后会调用兑换合约进行具体的兑换操作,但兑换合约的地址与具体的函数调用数据都由上层路由代理合约(0x8785bb...)传入,路由桥合约并未对解析后的兑换合约地址与调用数据进行检查。
4. 而代理合约(0x8785bb...)对路由桥合约(0x0B4727...)传入的参数也都来自于用户传入的参数。且代理合约(0x8785bb...)仅是确保了用户传入的 calldata 内各数据长度是否符合预期与所调用的路由桥合约是在白名单映射中的地址,未对 calldata 数据进行具体检查。
5. 因此攻击者利用路由代理合约、路由桥合约与权限管理合约均未对传入的数据进行检查的缺陷。通过路由代理合约传入构造后的数据调用路由桥合约的 callBytes 函数。callBytes 函数解析出攻击者指定的兑换合约与兑换数据,此时兑换合约被指定为权限管理合约地址,兑换数据被指定为调用 claimTokens 函数将指定用户的代币转入攻击者指定的地址中。实现了窃取所有对权限管理合约进行授权的用户的代币。
此次攻击的主要原因在于 Transit Swap 协议在进行代币兑换时并未对用户传入的数据进行严格检查,导致了任意外部调用的问题。攻击者利用此任意外部调用问题窃取了用户对 Transit Swap 授权的代币。
参考交易:
https://bscscan.com/tx/0x181a7882aac0eab1036eedba25bc95a16e10f61b5df2e99d240a16c334b9b189
BNB Smart Chain Explorer
BNB Smart Chain Transaction Hash (Txhash) Details | BscScan
Binance (BNB) detailed transaction info for txhash 0x181a7882aac0eab1036eedba25bc95a16e10f61b5df2e99d240a16c334b9b189. The transaction status, block confirmation, gas fee, Binance, and token transfer are shown.
看到一個台灣KOL吹噓自己
想起和朋友的對話
他問我ATH到現在的drawdown
我說虧了50%以上
他說你的Followers不會期望你的Drawdown這麼大吧
虧錢不可怕
可怕的是不認輸
騙自己騙別人外面一切正常的人
DK如是, Su如是, Alex如是
他們就是死撐著
結果傷害最深的就是最相信他們的人
https://vxtwitter.com/RaccoonHKG/status/1577287833005400064
想起和朋友的對話
他問我ATH到現在的drawdown
我說虧了50%以上
他說你的Followers不會期望你的Drawdown這麼大吧
虧錢不可怕
可怕的是不認輸
騙自己騙別人外面一切正常的人
DK如是, Su如是, Alex如是
他們就是死撐著
結果傷害最深的就是最相信他們的人
https://vxtwitter.com/RaccoonHKG/status/1577287833005400064
vxTwitter / fixvx
Raccoon Chan 小浣熊 (@RaccoonHKG)
看到一個台灣KOL吹噓自己
想起和朋友的對話
他問我ATH到現在的drawdown
我說虧了50%以上
他說你的Followers不會期望你的Drawdown這麼大吧
虧錢不可怕
可怕的是不認輸
騙自己騙別人外面一切正常的人
DK如是, Su如是, Alex如是
他們就是死撐著
結果傷害最深的就是最相信他們的人
Don't be like them
💖 131 🔁 8
想起和朋友的對話
他問我ATH到現在的drawdown
我說虧了50%以上
他說你的Followers不會期望你的Drawdown這麼大吧
虧錢不可怕
可怕的是不認輸
騙自己騙別人外面一切正常的人
DK如是, Su如是, Alex如是
他們就是死撐著
結果傷害最深的就是最相信他們的人
Don't be like them
💖 131 🔁 8
幣圈逢人就叫 XX大、XX佬、XX老師的稱謂
是真的要小心
部分是根本沒那個水平
部分是水平確實高,但是心地不好,熱衷弄一堆鐮刀項目的
部分就是人品和能力也不錯,特定範疇真的有Edge(譬如NFT Flipper、DeFi Farmer、Legendary Dev、God-tier Trader),但其他不擅長的領域一直在送錢出去的
最多是第三項,太多特定範疇的專家,在其他領域一直虧錢,甚至自信地帶着一波人一起虧錢了
是真的要小心
部分是根本沒那個水平
部分是水平確實高,但是心地不好,熱衷弄一堆鐮刀項目的
部分就是人品和能力也不錯,特定範疇真的有Edge(譬如NFT Flipper、DeFi Farmer、Legendary Dev、God-tier Trader),但其他不擅長的領域一直在送錢出去的
最多是第三項,太多特定範疇的專家,在其他領域一直虧錢,甚至自信地帶着一波人一起虧錢了
一個 Meme 項目
去分析的標準
是他有沒有逗你一笑
或者他有沒有挑起你某種情緒(憤慨、懷緬之類)
再深一層是他有沒有逗其他人一笑
或者挑起其他人某種情緒
機制甚麼都是次要
那些是 Ponzi 項目要考慮的事情
Ponzi 機制爆發起來
比 Meme 弱
我一直説 $OHM 當初能起來是 (3,3) 夠 Meme 大於他的機制
PS: 我這裡的 (3, 3) 是指名字改成 (x, x) 這個格式這個 Meme
傳播力很強
譬如 ( 🦇 , 🔊 ) 和 ( 💙 , 💛 )
後面都是學習了這個格式去傳播
這套Staking + Bonding的機制,和囚徒困境 (3, 3) 關係不大
$OHM 之前沒有流行用名字加Emoji去傳播這個宣傳範式
這是一個很成功的 Viral marketing meme campaign
去分析的標準
是他有沒有逗你一笑
或者他有沒有挑起你某種情緒(憤慨、懷緬之類)
再深一層是他有沒有逗其他人一笑
或者挑起其他人某種情緒
機制甚麼都是次要
那些是 Ponzi 項目要考慮的事情
Ponzi 機制爆發起來
比 Meme 弱
我一直説 $OHM 當初能起來是 (3,3) 夠 Meme 大於他的機制
PS: 我這裡的 (3, 3) 是指名字改成 (x, x) 這個格式這個 Meme
傳播力很強
譬如 ( 🦇 , 🔊 ) 和 ( 💙 , 💛 )
後面都是學習了這個格式去傳播
這套Staking + Bonding的機制,和囚徒困境 (3, 3) 關係不大
$OHM 之前沒有流行用名字加Emoji去傳播這個宣傳範式
這是一個很成功的 Viral marketing meme campaign
Celer 支持的跨鏈聚合器 @ChainHopDEX 在搞一個活動
可以拿他那個NFT碎片合成NFT
大概最多有1500個NFT
他們還沒發幣
本身跨鏈聚合器我是用 Bungee 的
但現在這個有活動我會去試試看
反正用起來是差不多
同樣又是未發幣
試試無妨
多刷就不用了
有興趣的話可以用一下我的邀請連結:
https://app.chainhop.exchange/?ref=0xc6C8AeCb1d9cA59A09d691cDa8539992655dbfB3
可以拿他那個NFT碎片合成NFT
大概最多有1500個NFT
他們還沒發幣
本身跨鏈聚合器我是用 Bungee 的
但現在這個有活動我會去試試看
反正用起來是差不多
同樣又是未發幣
試試無妨
多刷就不用了
有興趣的話可以用一下我的邀請連結:
https://app.chainhop.exchange/?ref=0xc6C8AeCb1d9cA59A09d691cDa8539992655dbfB3
Cex 年代 -> ICO 年代 -> DeFi Summer -> Alt L1 DeFi Summer -> NFT Summer 1.0 (用合約 Mint 那種 Degen NFT) -> 動物農場 -> NFT Summer 2.0 (工具大戰) -> Free mint meta
GCR:
不要低估 Ponzi builders 和 Marketers 創造新敍事的能力
"Macro" 和 "Recession" 這些 Meme 不會完全扼殺新的敍事
也不要嘗試去模仿別人發財的模式
90%以上的人發財大概不是因為他們能力有多高
只是他們碰巧在對的戰場上玩懂了
尋找一個符合自己性格的戰場和風口上的賽道才是最重要
當風口來到你擅長的領域,自然就會起飛
https://vxtwitter.com/onlyforalpha/status/1577541129125478401?s=20&t=I4J0J4Z96PJDO7DHptZGWg
GCR:
不要低估 Ponzi builders 和 Marketers 創造新敍事的能力
"Macro" 和 "Recession" 這些 Meme 不會完全扼殺新的敍事
也不要嘗試去模仿別人發財的模式
90%以上的人發財大概不是因為他們能力有多高
只是他們碰巧在對的戰場上玩懂了
尋找一個符合自己性格的戰場和風口上的賽道才是最重要
當風口來到你擅長的領域,自然就會起飛
https://vxtwitter.com/onlyforalpha/status/1577541129125478401?s=20&t=I4J0J4Z96PJDO7DHptZGWg
統計一下真實用户,除了Cex外,大家有使用哪個跨鏈方案的習慣(可多選)(歡迎分享)
Anonymous Poll
19%
Celer
16%
Synapse
54%
Multichain (Anyswap)
23%
Stargate (LayerZero)
20%
Hop
9%
Portal (Wormhole)
20%
Bungee
9%
Connext (xPollinate)
6%
LiFi (Transferto)
17%
Others (Hashflow, Across, Transit Swap, Xswap, Chainport, Polynetwork, Allbridge, XY...)
孫割出三文魚DeFi挖礦 -> DeFi Summer結束
孫割出波場猴子NFT -> BAYC回調
孫割賽馬遊戲 -> Axie見頂
孫割做 $USDD -> $UST 沒了
孫割買交易所 -> SBF 被調查
不僅整理錢包的指標準,連蹭哪個賽道熱度的指標也有夠準
https://vxtwitter.com/RaccoonHKG/status/1582032610645389312?s=20&t=jeJwehzTbSdagQwmsqmj1Q
孫割出波場猴子NFT -> BAYC回調
孫割賽馬遊戲 -> Axie見頂
孫割做 $USDD -> $UST 沒了
孫割買交易所 -> SBF 被調查
不僅整理錢包的指標準,連蹭哪個賽道熱度的指標也有夠準
https://vxtwitter.com/RaccoonHKG/status/1582032610645389312?s=20&t=jeJwehzTbSdagQwmsqmj1Q
期權交易的資訊在 Crypto 一直相對匱乏,很多散户即使希望透過期權進行一些複合策略,也苦於沒有免費的數據和複合策略的工具,變相無法對倉位進行對沖
SignalPlus 透過聚合不同期權市場的資訊,好像 TradFi 的 Interative Broker 那樣,提供了各種交易工具和分析工具,協助用户透過一個 UI 分析不同希臘字母(甚麼Delta之類,aka平時説Delta-neutral那個Delta),用同一個介面比較不同平台的價錢(現在支持 Bybit ,很快會支持其他主流交易所)並一鍵下單,避免了時間差帶來的 Execution 問題
這個是小浣熊的專屬邀請鏈結,大家可以先註冊,使用這個鏈結的用户,可以參加我們一兩個禮拜後的小浣熊社區專屬交易比賽、期權教學活動和有獎問答活動之類的東西:
https://t.signalplus.com/user/register?ref=0270e
註冊完之後,可以接入 API Key 就能交易,詳情怎麼用的話建議自己摸索,或者之後有活動一起摸索些進階的功能,或者去小浣熊 Trading 羣問,雖然我也未必懂,但應該會有懂的人,先填個 Email 註冊吧,謝
SignalPlus 透過聚合不同期權市場的資訊,好像 TradFi 的 Interative Broker 那樣,提供了各種交易工具和分析工具,協助用户透過一個 UI 分析不同希臘字母(甚麼Delta之類,aka平時説Delta-neutral那個Delta),用同一個介面比較不同平台的價錢(現在支持 Bybit ,很快會支持其他主流交易所)並一鍵下單,避免了時間差帶來的 Execution 問題
這個是小浣熊的專屬邀請鏈結,大家可以先註冊,使用這個鏈結的用户,可以參加我們一兩個禮拜後的小浣熊社區專屬交易比賽、期權教學活動和有獎問答活動之類的東西:
https://t.signalplus.com/user/register?ref=0270e
註冊完之後,可以接入 API Key 就能交易,詳情怎麼用的話建議自己摸索,或者之後有活動一起摸索些進階的功能,或者去小浣熊 Trading 羣問,雖然我也未必懂,但應該會有懂的人,先填個 Email 註冊吧,謝
價值投資讓你虧錢
是因為你的幣在你交易的時間周期沒有價值
而不是價值投資沒用
這篇 Adam Cochran 的文章 ( https://twitter .com/adamscochran/status/1476652328736342023 )
2021年年尾廣傳
説得頭頭是道,很多人也翻譯和分享
但現在看回去,不僅是跌,是跑輸同一板塊的大盤
內文的原因站在2021年年尾的時候看沒出錯
問題在於哪裡呢?
問題在於持倉周期和買入原因不匹配
你説一個項目三年後五年後會怎樣怎樣
但你平均的持倉時間
是一年內的話
你根本不應該考慮三年後五年後會怎樣怎樣
項目三年後五年後怎樣
和你持倉期間他的價值沒有關係
你要看的價值
是團隊懂不懂炒作
是 Narrative 怎樣
是社區怎樣
這是影響項目幣價的主因
相反
你要拿幾年的話
應該看的「價值」是
團隊靠譜不
項目品牌怎麼樣
項目 Runway 有多長
不用花太多時間分析Narrative、社區這些
幾年後,市場的Narrative和社區成員大概和以前截然不同
甚至連項目也V5, V6了
機制也不同了
你當初分析的項目機制和技術已經不影響項目好壞
不要混淆價值投資和長線投資
你要做長線價值投資
就要有長線的目光
你要做短線價值投資
就要看清項目短線的價值
你分析社區分析項目機制分析得多麼透徹
決定哪個項目長拿
沒意思的
不到一年
Element Finance 也去做元宇宙了
Uniswap Labs 下個產品不是 V4 是 NFT Marketplace
拿着清朝的律法去做法官審項目
你是清朝法律專家
也審不出什麼的
拿幾個星期幾個月,就看幾個星期幾個月的價值因子
忽略長期的價值因子
拿幾年的,就看幾年的價值因子
少看這幾年內肯定會變的價值因子
這才是價值投資
https://vxtwitter.com/RaccoonHKG/status/1584576921526239232?s=20&t=Z7lJt_w3N4nXJltA69MGfA
是因為你的幣在你交易的時間周期沒有價值
而不是價值投資沒用
這篇 Adam Cochran 的文章 ( https://twitter .com/adamscochran/status/1476652328736342023 )
2021年年尾廣傳
説得頭頭是道,很多人也翻譯和分享
但現在看回去,不僅是跌,是跑輸同一板塊的大盤
內文的原因站在2021年年尾的時候看沒出錯
問題在於哪裡呢?
問題在於持倉周期和買入原因不匹配
你説一個項目三年後五年後會怎樣怎樣
但你平均的持倉時間
是一年內的話
你根本不應該考慮三年後五年後會怎樣怎樣
項目三年後五年後怎樣
和你持倉期間他的價值沒有關係
你要看的價值
是團隊懂不懂炒作
是 Narrative 怎樣
是社區怎樣
這是影響項目幣價的主因
相反
你要拿幾年的話
應該看的「價值」是
團隊靠譜不
項目品牌怎麼樣
項目 Runway 有多長
不用花太多時間分析Narrative、社區這些
幾年後,市場的Narrative和社區成員大概和以前截然不同
甚至連項目也V5, V6了
機制也不同了
你當初分析的項目機制和技術已經不影響項目好壞
不要混淆價值投資和長線投資
你要做長線價值投資
就要有長線的目光
你要做短線價值投資
就要看清項目短線的價值
你分析社區分析項目機制分析得多麼透徹
決定哪個項目長拿
沒意思的
不到一年
Element Finance 也去做元宇宙了
Uniswap Labs 下個產品不是 V4 是 NFT Marketplace
拿着清朝的律法去做法官審項目
你是清朝法律專家
也審不出什麼的
拿幾個星期幾個月,就看幾個星期幾個月的價值因子
忽略長期的價值因子
拿幾年的,就看幾年的價值因子
少看這幾年內肯定會變的價值因子
這才是價值投資
https://vxtwitter.com/RaccoonHKG/status/1584576921526239232?s=20&t=Z7lJt_w3N4nXJltA69MGfA
vxTwitter / fixvx
Raccoon Chan 小浣熊 (@RaccoonHKG)
價值投資讓你虧錢
是因為你的幣在你交易的時間周期沒有價值
而不是價值投資沒用
這篇 Adam Cochran 的文章
2021年年尾廣傳
説得頭頭是道,很多人也翻譯和分享
但現在看回去,不僅是跌,是跑輸同一板塊的大盤
內文的原因站在2021年年尾的時候看沒出錯
問題在於哪裡呢?
(1/6) https://t.co/n9GC1GHvG4
💖 77 🔁 20
是因為你的幣在你交易的時間周期沒有價值
而不是價值投資沒用
這篇 Adam Cochran 的文章
2021年年尾廣傳
説得頭頭是道,很多人也翻譯和分享
但現在看回去,不僅是跌,是跑輸同一板塊的大盤
內文的原因站在2021年年尾的時候看沒出錯
問題在於哪裡呢?
(1/6) https://t.co/n9GC1GHvG4
💖 77 🔁 20
小浣熊Degen日記
價值投資讓你虧錢 是因為你的幣在你交易的時間周期沒有價值 而不是價值投資沒用 這篇 Adam Cochran 的文章 ( https://twitter .com/adamscochran/status/1476652328736342023 ) 2021年年尾廣傳 説得頭頭是道,很多人也翻譯和分享 但現在看回去,不僅是跌,是跑輸同一板塊的大盤 內文的原因站在2021年年尾的時候看沒出錯 問題在於哪裡呢? 問題在於持倉周期和買入原因不匹配 你説一個項目三年後五年後會怎樣怎樣 但你平均的持倉時間 是一年內的話…
看圖表交易時
很多人會知道看15mins chart不能做長周期的單
看weekly chart不能做scalping
但到了看基本面了
又有一堆人想象着他幾年後的發展
去做一個幾天幾星期的交易
或者等待一個兩個禮拜後的 Catalyst
然後抱着抱着抱了一年
ching,你個 Timeframe 錯咗啊
很多人會知道看15mins chart不能做長周期的單
看weekly chart不能做scalping
但到了看基本面了
又有一堆人想象着他幾年後的發展
去做一個幾天幾星期的交易
或者等待一個兩個禮拜後的 Catalyst
然後抱着抱着抱了一年
ching,你個 Timeframe 錯咗啊
本來 $UST 沒事
大家開開心心領20%
$LUNA 發財, $AVAX 發財, $BTC 發財
現在好了
大佬打架,散戶遭殃
20%沒了,DK沒有,3AC 和 Celsius 也拖垮了
BTC 和 ETH 也回不去 ATH 了
我不懂得為甚麼要在 Anchor 提幣
都是大壞蛋
其他鏈也禁不住這個規模的資金撤離啊
跨鏈橋都會不夠流動性啊
譬如在 Arbitrum 提幣的人一次過很多的話
Multichain, Celer 這些提乾了
也會提不出來啊
只有 Luna 會這樣嗎?
GCR, Algod, Galois, JZ
你們是 Luna 爆煲的罪魁禍首😡😡😡
大家開開心心領20%
$LUNA 發財, $AVAX 發財, $BTC 發財
現在好了
大佬打架,散戶遭殃
20%沒了,DK沒有,3AC 和 Celsius 也拖垮了
BTC 和 ETH 也回不去 ATH 了
我不懂得為甚麼要在 Anchor 提幣
都是大壞蛋
其他鏈也禁不住這個規模的資金撤離啊
跨鏈橋都會不夠流動性啊
譬如在 Arbitrum 提幣的人一次過很多的話
Multichain, Celer 這些提乾了
也會提不出來啊
只有 Luna 會這樣嗎?
GCR, Algod, Galois, JZ
你們是 Luna 爆煲的罪魁禍首😡😡😡