YFV是基于以太坊的一个DeFi项目，今天早些时候，YFV官方发文称遭到勒索。攻击者利用staking的合约漏洞，可以任意重置用户锁定的YFV。
并表示，此次事件可能和不久前的“pool0”事件相关，勒索者极有可能是在“pool0”事件中未取回资金的“愤怒的农民”。漏洞分析合约存在一个stakeOnBehalf函数使得攻击者可以为任意用户进行抵押，如下图所示：
香飘飘奶茶官宣发布“理想星球开拓者”NFT 数字藏品:1 月 11 日，香飘飘推出“香飘飘理想星球开拓者” 数字藏品，香飘飘以No.85奶茶星空探索队为主角,设置了真香密码、快乐起飞、反EMO、茶享自由等8个不同的理想星球场景。每个星球对应SSR、SR、R三个不同等级的数字藏品。
同时,香飘飘还结合时下备受追捧的盲盒玩法,一定程度上激发了年轻消费者的收藏欲:每款生椰菠菠椰乳茶“85度暖冬礼盒”中,都有一张“香飘飘理想星球开拓者”邀请卡,根据卡片提示,可随机获取一款数字藏品,开拓属于自己的“理想星球”。[2022/1/11 8:41:06]
网易星球主管：网易星球并没有存储任何用户数据 目前市场上黑钻交易的信息均为假:网易星球产品负责人顾费勇今天接受了网易科技的采访，顾费勇表示网易星球是基于区块链技术的生态价值共享平台，为平台用户更好更安全记录行为数据，可有效提升用户行为在整个生态内的价值。对于网易星球被质疑刻意收集用户信息并交易，顾费勇回应称网易星球并没有存储任何用户数据，用户是在区块链上进行信息记录行为，所有的用户数据仅用户个人使用私钥才能使用，任何第三方包括网易金融在内未经用户许可的情况下都没有权限查看使用用户个人数据。他们设计这个产品的初衷，其实是为了用区块链技术来重构商业价值与生态。顾费勇还提醒投资者，黑钻是依托于区块链技术，基于个人行为贡献产生的价值，只限于用户本人使用，不可以交易。因此目前市场上出现的关于一些黑钻交易的信息都是虚假的，与网易星球没有任何关系。为此也提醒用户，注意甄别信息，防止上当受。[2018/2/10]
此函数中的lastStakeTimes=block.timestamp;语句会更新用户地址映射的laseStakeTimes。而用户取出抵押所用的函数中又存在验证，要求用户取出时间必须大于lastStakeTimes+72小时。如下图所示：
雷锋网：“网易星球”涉嫌以伪区块链游戏收集用户重要隐私，疑为金融业务铺路:网易金融区块链产品“星球”被质疑为伪区块链项目，因其尚无代码和区块浏览器信息且黑钻总数不确定。此外，该项目被质疑收集包括身份证信息、旅行频次、健康信息、教育程度、社交信用程度、娱乐时长、购物金额、通讯信息等与用户真实身份与个人状态强相关资料，来引入合作企业平台进行“价值交换”。网易此番以网易金融名义伸出触角，该产品很有可能先从分析用户行为提供网贷等服务入手，后期再引入其他合作伙伴。[2018/2/9]
UnfrozenStakeTime如下图所示：
综上所述，恶意用户可以向正常用户抵押小额的资金，从而锁定正常用户的资金。根据链上信息，我们找到了两笔疑似攻击的交易,如下所示：0xf8e155b3cb70c91c70963daaaf5041dee40877b3ce80e0cbd3abfc267da03fc90x8ae5e5b4f5a026bc27685f2b8cbf94e9e2c572f4905fcff1e263df24252965db其中一笔如下图所示：
此两笔交易都来自同一地址，且均为极小值。由此我们可以基本判定这是一个测试锁死问题的交易。总结
针对于本次事件，究其根本原因，还是没有做好上线前的代码审计工作。本次事件实际上是属于业务层面上的漏洞。根据成都链安在代码审计方面的经验，个别项目方在进行代码审计时，未提供完整的项目相关资料，使得代码审计无法发现一些业务漏洞，导致上线后损失惨重。成都链安·安全实验室在此提醒各项目方：安全是发展的基石，做好代码审计是上线的前提条件。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。