2024年4月19日，Hedgey Finance遭受多笔攻击交易，损失超过200万美元。
SharkTeam对此事件第一时间进行了技术分析，并总结了安全防范手段，希望后续项目可以引以为戒，共筑区块链行业的安全防线。
Hedgey Finance被过个攻击者发起了多次攻击，利用代币批准漏洞，盗取了ClaimCampaigns合约中的大量代币。
以其中涉及金额最大的一笔交易为例，涉及金额约130万美元：
攻击交易：0x2606d459a50ca4920722a111745c2eeced1d8a01ff25ee762e22d5d4b1595739
攻击者：0xded2b1a426e1b7d415a40bcad44e98f47181dda2
攻击合约：0xc793113f1548b97e37c409f39244ee44241bf2b3
目标合约：0xbc452fdc8f851d7c5b72e1fe74dfb63bb793d511（ClaimCampaigns）
该交易直接从ClaimCampaigns合约中转移走了1,303,910.12 USDC。交易详情如下：
实际发起攻击的交易是
0xa17fdb804728f226fcd10e78eae5247abd984e0f03301312315b89cae25aa517（简记为0xa17f）
攻击过程如下：
1 从Balancer中闪电贷1.305M USDC。
2 调用ClaimCampaigns合约中的createLockedCampaign函数。在该函数中，攻击合约会将1.305M USDC存入ClaimCampaigns合约中，然后laimCampaigns合约会将转入的1.305M USDC批准给攻击合约使用。
3 调用ClaimCampaigns合约中的cancelCampaign函数。在该函数中，攻击合约将存入的1.305M USDC提取出来，但在createLockedCampaign函数中批准给攻击合约的USDC并没有取消。
4 攻击合约偿还Balancer的闪电贷。
在该交易中，攻击合约将保存在ClaimCampaigns合约中的1.305M USDC提取走后，ClaimCampaigns合约批准给攻击合约的1.305M USDC并没有取消，因此攻击合约可以直接调用USDC的transferFrom函数再次从ClaimCampaigns合约中转移走1.305M USDC。这也是交易0xa17fdb804728f226fcd10e78eae5247abd984e0f03301312315b89cae25aa517实现的功能。
通过以上两笔交易，攻击者从ClaimCampaigns合约中盗取了1.305M USDC。
除了USDC外，该攻击者利用此漏洞还从ClaimCampaigns合约中盗取了大量的NOBL Token，加上USDC，总价值超过200万美元。
本次事件的根本原因是项目方智能合约在实现逻辑上存在代币批准漏洞，使得攻击者可以利重复转移目标合约批准给msg.sender中的Token。
智能合约ClaimCampaigns的createLockedCamaign函数会将msg.sender的Token存入到目标合约中，并将这些Token批准给msg.sender。
cancelCampaign函数会将存入的Token提取出来，但却并没有取消代币的批准。
攻击者利用此漏洞，直接调用Token的transferFrom函数从目标合约中再次转移走批准的代币。
针对本次攻击事件，我们在开发过程中应遵循以下注意事项：
（1）项目在设计和开发过程中，要保持逻辑的完整性和严谨性，尤其是涉及到资产的转移过程中，在转移Token时保证同步代币批准的数量，避免上面转移走了Token但没有取消批准的情况。
（2）项目上线前，需要由第三方专业的审计公司进行智能合约审计。
嘿,朋友们!你有没有听说过628社区?如果没有,那你可真要赶快了解一下了,因为628社区正在引领区块链世界的新潮流!我们不仅在技术上不断突破,还为每一位用户创造了一个充满活力和创新的数字乐园。来,跟我一起探索这个令人兴奋的世界吧!技术突破,简直太酷了!我们知道,在链上交易时高Gas费真的很烦人,对吧?好消息是,628社区解决了这个大问题!我们的新协议能够减少95%的Gas费,而且优化了整个交易流程
你的指南：购买土地时应该问房地产经纪人什么？ 购买土地是一项巨大的投资，无论你是想买房、创业，还是把它作为一项投资。当你购买土地时，知道要问你的房地产经纪人什么问题可以帮助这个过程更加顺利，并帮助你做出明智的选择。 我们将讨论买房时需要考虑的重要事项，包括空地、地役权、自然资源等。本文中的细节将帮助您了解如何购买土地，并确保您已做好准备。 继续阅读以了解更多。 另请阅读：金砖国家向七国集团联盟发出
3 Notcoin跌破0.0156美元：NOT价格的看跌信号？
没有突破趋势线阻力，导致市场结构看涨。如果购买压力不增加，跌破0.015美元的趋势可能会持续下去。 最近，由于牛市占据主导地位，Notcoin[NOT]成功扭转了其看跌命运。但过去一周，这一势头停滞不前，价格也没有达到预期的积极水平。 交易量的减少令人担忧，因为这表明市场参与者的矛盾心理。代币是否会继续上涨，还是这次反弹只是下跌趋势中的短暂喘息？ 不会跌破0.0156美元——它是否再次开始下跌？
Tron增加的链上交易量为区块链带来了惊人的收入，超过了以太坊和Solana。 Tron网络上的交易量达到了年初以来的最高点，数据显示区块链每天处理799万笔交易。这主要是由于区块链网络上用户互动的激增。 IntoTheBlock的数据显示，自2月初以来，每周交易量稳步增长。区块链在2月份的周交易量最低，仅为2850万。然而，自那以后，用户流量呈抛物线式增长，从8月5日开始，每周交易量增长了38%
5 VT Markets和纽卡斯尔联队在J联赛中的合作伙伴关系
VT Markets是一种全球多资产多资产，由不同的资产类别组成，多资产是一种将债券、股票、现金等价物、固定收益和另类投资等不同类别组合在一起的统称。与传统的平衡基金相比，多资产解决方案有所不同，因为它们针对特定的投资结果。这包括回报率高于通胀等结果，而不是根据标准化基准衡量绩效。考虑到多资产类别的构成，它们需要动态地由不同的资产类别组成，多资产是一种将债券、股票、现金等价物、固定收益和另类投资等
6 Synthetix在这些排名中“名列前茅”，但SNX现在真的能搭上炒作的列车吗？
Synthetix的开发活动突显了该网络为吸引更多用户而做出的越来越大的努力——尽管如此，SNX在鲸鱼和机构销售压力的推动下表现不佳 Synthetix是2021年牛市期间最有前景的加密项目之一。然而，随着DeFi细分市场变得更加饱和，它一直在努力保持在聚光灯下。同样，其原生代币SNX最近也处于熊市螺旋。 Synthetix能卷土重来吗？这个DeFi协议一直在努力保持其相关性。考虑到这一点，Syn
你的指南：如何在没有KYC的情况下购买以太坊（ETH）？ 你是一个狂热的加密货币爱好者，想探索新的投资方式吗？你有没有想过，“如何在没有KYC的情况下购买以太坊（ETH）？如果是这样，你很幸运。 购买以太坊（ETH）是可能的，通常也很容易，而无需通过了解你的客户（KYC）步骤。今天，我们将向您展示这些步骤，并指出不同的做事方式和思考方式。 继续阅读以了解更多。 另请阅读：金砖国家将组建议会监督联盟
由于NEIRO的看涨趋势难以超过0.30美元，看跌活动考验了0.18美元的强势。持续的争吵延续了模因币的横向趋势。在整合的十字路口，NEIRO会看涨退出吗？ 尽管市场波动加剧，但NEIRO的市值为2.0266亿美元，呈横盘走势。此外，由于模因币领域对即将到来的阶段犹豫不决，NEIRO的整合可能会延长。多头会持有更长时间的头寸，还是NEIRO会下跌？ 买家为上涨周期而挣扎 在4小时图中旗帜图案的看涨
9 MicroStrategy收购更多比特币-最新加密货币新闻
即使在市场大幅波动的情况下，MicroStrategy最近也增加了比特币的持有量。尽管之前存在波动，但该公司仍坚持其投资策略，在价格短暂超过5.8万美元后徘徊在57300美元左右时购买了额外的BTC。更广泛的加密货币市场面临着数周的价格下跌，许多重要的山寨币在几个月内损失了高达50%的价值。 内容隐藏1以太坊价格前景2 BNB币面临挑战3投资者的关键见解 以太坊的价格展望 以太坊
迪拜一审法院已经验证了比特币、以太坊、XRP等加密资产在雇佣合同下的工资支付。 该裁决是阿拉伯联合酋长国对加密货币法律立场的一个重要里程碑。特别是，这标志着法院与2023年的先前立场有所不同。当时，由于缺乏对所涉及加密货币的精确估值，同一索赔被驳回。 案件背景 该案件涉及一名雇员，他起诉雇主非法解雇和拖欠工资。工作协议规定了法定货币的工资和额外的5250个EcoWatt代币。当雇主在半年内未能支付
