Anchor協議因Terra新鏈啟動被利用，導致損失約80萬美元

5月29日消息，在Terra新鏈啟動后，LUNC（Luna Classic）的價格預言機達到5美元，而實際價格遠低于5美元，Anchor平臺一名用戶注意到該漏洞，存入大約2000萬個Lido Bonded Luna代幣，平臺認為這是1億美元，實際價值應該在20萬美元左右，用戶借出4000萬UST，提取并獲利約80萬美元。（U.Today）

Binance與美SEC達成協議，將所有美國客戶資金和錢包密鑰轉回美國:金色財經報道，Binance、Binance.US和美國證券交易委員會（SEC）周五晚些時候宣布了一項協議，以確保只有Binance.US的員工可以訪問客戶資金。該協議仍需得到負責此案的聯邦法官的簽署。根據擬議的協議，Binance.US將采取措施，確保沒有Binance Holdings的官員能夠獲得其各種錢包的私鑰、硬件錢包或Binance.US的亞馬遜云服務(AWS)的root權限。此外，Binance.US將在未來幾周內分享有關其業務支出的詳細信息，包括估計成本。

擬議協議是為了回應SEC凍結Binance所有資產的動議，協議中的其他條款將要求Binance.US創建Binance全球員工無法訪問的新加密錢包，以及向SEC提供額外信息等。據報道，在此期間，美國的客戶仍然可以提取資金。[2023/6/17 21:44:04]

Anchor Protocol發起社區提案，擬將最高存款利率降至5.5%:5月11日消息，Terra生態固定利率協議Anchor Protocol發起社區提案，建議將最低利率降至3.5%，將最高存款利率降至5.5%，目標利率為4%，旨在暫時阻止Anchor儲備的耗盡，使得TFL不必部署額外的UST，幫助阻止死亡螺旋。[2022/5/11 3:07:31]

慢霧揭秘Pickle Finance被黑過程:2020 年 11 月 22 日，以太坊 DeFi 項目 Pickle Finance 遭受攻擊，損失約 2000萬DAI。慢霧安全團隊跟進相關事件并進行分析，以下為分析簡略過程：

1、項目的 Controller 合約中的 swapExactJarForJar 函數允許傳入兩個任意的 jar 合約地址進行代幣的兌換，其中的 _fromJar, _toJar, _fromJarAmount, _toJarMinAmount 都是用戶可以控制的變量，攻擊者利用這個特性，將 _fromJar 和 _toJar 都填上自己的地址，_fromJarAmount 是攻擊者設定的要抽取合約的 DAI 的數量，約 2000萬 DAI。

2、使用 swapExactJarForJar 函數進行兌換過程中，合約會通過傳入的 _fromJar 合約和 _toJar 合約的 token() 函數獲取對應的 token 是什么，用于指定兌換的資產。 而由于 _fromJar 合約和 _toJar 合約都是攻擊者傳入的，導致使用 token() 函數獲取的值也是可控的，這里從 _fromJar 合約和 _toJar 合約 獲取到的 token 是 DAI。

3. 此時發生兌換，Controller 合約使用 transferFrom 函數從 _fromJar 合約轉入一定量的的 ptoken，但是由于 fromJar 合約是攻擊者控制的地址，所以這里轉入的 ptoken 是攻擊者的假幣。同時，因為合約從 _fromJar 合約中獲取的 token 是 DAI，然后合約會判斷合約里的資金是否足夠用于兌換，如果不夠，會從策略池中贖回一定量的代幣 然后轉到 Controller 合約中。在本次的攻擊中，合約中的 DAI 不足以用于兌換，此時合約會從策略池中提出不足的份額，湊夠攻擊者設定的 2000萬 DAI 。

4. 兌換繼續，Controller 合約在從策略池里提出 DAI 湊夠攻擊者設定的 2000萬 DAI后，會調用 _fromJar 的 withdraw 函數，將攻擊者在第三步轉入的假 ptoken burn 掉，然后合約判斷當前合約中 _toJar 合約指定的 token 的余額是多少，由于 _toJar 合約指定的 token 是 DAI，Controller 合約會判斷合約中剩余 DAI 的數量，此時由于 第三步 Control[2020/11/22 21:39:57]