慢霧創始人通過其推特向跨鏈DID .bit成功申領slowmist.bit

9月14日消息，慢霧創始人通過其推特向跨鏈 DID .bit 申領了保留賬戶 slowmist.bit。據悉，.bit 通過引用第三方數據源保留的賬戶，在規定時間內成功發起申領就可以按注冊費獲得該賬戶。

此前報道，8月15日，跨鏈DID .bit宣布完成1300萬美元A輪融資，CMB International領投，HashKey Capita、QingSong Fund、GSR Ventures、GGV Capital、SNZ 與 SevenX 參投。

慢霧揭秘Pickle Finance被黑過程:2020 年 11 月 22 日，以太坊 DeFi 項目 Pickle Finance 遭受攻擊，損失約 2000萬DAI。慢霧安全團隊跟進相關事件并進行分析，以下為分析簡略過程：

1、項目的 Controller 合約中的 swapExactJarForJar 函數允許傳入兩個任意的 jar 合約地址進行代幣的兌換，其中的 _fromJar, _toJar, _fromJarAmount, _toJarMinAmount 都是用戶可以控制的變量，攻擊者利用這個特性，將 _fromJar 和 _toJar 都填上自己的地址，_fromJarAmount 是攻擊者設定的要抽取合約的 DAI 的數量，約 2000萬 DAI。

2、使用 swapExactJarForJar 函數進行兌換過程中，合約會通過傳入的 _fromJar 合約和 _toJar 合約的 token() 函數獲取對應的 token 是什么，用于指定兌換的資產。 而由于 _fromJar 合約和 _toJar 合約都是攻擊者傳入的，導致使用 token() 函數獲取的值也是可控的，這里從 _fromJar 合約和 _toJar 合約 獲取到的 token 是 DAI。

3. 此時發生兌換，Controller 合約使用 transferFrom 函數從 _fromJar 合約轉入一定量的的 ptoken，但是由于 fromJar 合約是攻擊者控制的地址，所以這里轉入的 ptoken 是攻擊者的假幣。同時，因為合約從 _fromJar 合約中獲取的 token 是 DAI，然后合約會判斷合約里的資金是否足夠用于兌換，如果不夠，會從策略池中贖回一定量的代幣 然后轉到 Controller 合約中。在本次的攻擊中，合約中的 DAI 不足以用于兌換，此時合約會從策略池中提出不足的份額，湊夠攻擊者設定的 2000萬 DAI 。

4. 兌換繼續，Controller 合約在從策略池里提出 DAI 湊夠攻擊者設定的 2000萬 DAI后，會調用 _fromJar 的 withdraw 函數，將攻擊者在第三步轉入的假 ptoken burn 掉，然后合約判斷當前合約中 _toJar 合約指定的 token 的余額是多少，由于 _toJar 合約指定的 token 是 DAI，Controller 合約會判斷合約中剩余 DAI 的數量，此時由于 第三步 Control[2020/11/22 21:39:57]

慢霧科技啟富：慢霧將與 HyperPay 團隊持續保持密切戰略合作:11月6日消息，慢霧科技合伙人啟富在做客《HyperPay焦點》欄目時提及：數字貨幣的安全問題一直是用戶最關心的問題。HyperPay 作為一款錢包更是應該重視安全。數字資產錢包關聯的私鑰意味著數字資產的所有權，私鑰的安全性直接決定數字資產的安全性。之前 HyperPay 錢包也全項通過了慢霧科技錢包安全審計，希望 HyperPay 繼續保持高效安全，融合更多的功能打造出一款具有革命性和獨創性的區塊鏈錢包產品。慢霧希望與 HyperPay 團隊持續保持密切戰略合作，共同維護區塊鏈生態安全。[2020/11/6 11:51:16]

聲音 | 慢霧：使用中心化數字貨幣交易所及錢包的用戶注意撞庫攻擊:據慢霧消息，近日，注意到撞庫攻擊導致用戶數字貨幣被盜的情況，具體原因在于用戶重復使用了已泄露的密碼或密碼通過撞庫攻擊的“密碼生成基本算法”可以被輕易猜測，同時用戶在這些中心化服務里并未開啟雙因素認證。分析認為，被盜用戶之所以沒開啟雙因素認證是以為設置了獨立的資金密碼就很安全，但實際上依賴密碼的認證體系本身就不是個足夠靠譜的安全體系，且各大中心化數字貨幣交易所及錢包在用戶賬號風控體系的策略不一定都一致，這種不一致可能導致用戶由于“慣性思維”而出現安全問題。[2019/3/10]