Grim Finance 被黑簡析：攻擊者通過閃電貸借出 WFTM 與 BTC 代幣

據慢霧區情報，2021 年 12 月 19 日，Fantom 鏈上 Grim Finance 項目遭受攻擊。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1. 攻擊者通過閃電貸借出 WFTM 與 BTC 代幣，并在 SpiritSwap 中添加流動性獲得 SPIRIT-LP 流動性憑證。

2. 隨后攻擊者通過 Grim Finance 的 GrimBoostVault 合約中的 depositFor 函數進行流動性抵押操作，而 depositFor 允許用戶指定轉入的 token 并通過 safeTransferFrom 將用戶指定的代幣轉入 GrimBoostVault 中，depositFor 會根據用戶轉賬前后本合約與策略池預期接收代幣(預期接收 want 代幣，本次攻擊中應為 SPIRIT-LP)的差值為用戶鑄造抵押憑證。

3. 但由于 depositFor 函數并未檢查用戶指定轉入的 token 的合法性，攻擊者在調用 depositFor 函數時傳入了由攻擊者惡意創建的代幣合約地址。當 GrimBoostVault 通過 safeTransferFrom 函數調用惡意合約的 transferFrom 函數時，惡意合約再次重入調用了 depositFor 函數。攻擊者進行了多次重入并在最后一次轉入真正的 SPIRIT-LP 流動性憑證進行抵押，此操作確保了在重入前后 GrimBoostVault 預期接收代幣的差值存在。隨后 depositFor 函數根據此差值計算并為攻擊者鑄造對應的抵押憑證。

4. 由于攻擊者對 GrimBoostVault 合約重入了多次，因此 GrimBoostVault 合約為攻擊者鑄造了遠多于預期的抵押憑證。攻擊者使用此憑證在 GrimBoostVault 合約中取出了遠多于之前抵押的 SPIRIT-LP 流動性憑證。隨后攻擊者使用此 SPIRIT-LP 流動性憑證移除流動性獲得 WFTM 與 BTC 代幣并歸還閃電貸完成獲利。

此次攻擊是由于 GrimBoostVault 合約的 depositFor 函數未對用戶傳入的 token 的合法性進行檢查且無防重入鎖，導致惡意用戶可以傳入惡意代幣地址對 depositFor 進行重入獲得遠多于預期的抵押憑證。慢霧安全團隊建議：對于用戶傳入的參數應檢查其是否符合預期，對于函數中的外部調用應控制好外部調用帶來的重入攻擊等風險。

Grin開發者：（萊特幣）MW測試網預計將于夏末推出:由萊特幣基金會資助，負責將MimbleWimble協議集成至萊特幣的Grin開發者David Burkett已更新了二月開發進展狀況。Burkett在最新進展中提到，（萊特幣）MW測試網預計將于夏末推出。[2020/3/2]

聲音 | 谷歌前副總裁：與以Grin為代表的Mimblewimble協議相比，Origo具有更好的匿名性:谷歌前副總裁 Tyler Innes 發布文章對隱私加密貨幣技術進行介紹和分析。其中他對比了Origo的隱私性和以Grin為代表的Mimblewimble隱私技術，在他看來Origo的隱私性要比Grin更好。

Tyler Innes稱與Mimblewimble協議相比，Origo協議使用ZK-SNARKS來保護發送者和接收者地址的隱私。Origo的一大優點是。Origo的私有交易模型中的匿名集是其所有此前已經創建的私有記錄。從信息論的角度來看，這是與Mimblewimble中典型的2~4個匿名集的大小相比可以提供更強的匿名性。在Mimblewimble中很容易追蹤到私有交易，但是由于Origo的匿名集很大，所以不可能鏈接到它的私有交易。

另外，Mimblewimble是UTXO的基本交易模型，它不支持智能合約。但相比之下Origo支持保護隱私的智能合約。很多對隱私性敏感的去中心化應用只能在Origo網絡上運行。

總之，與Mimblewimble相比，Origo具有更好的匿名性。而Origo在隱私保護應用程序方面也有更大的應用潛力，關心隱私的用戶或許應更多的關注Origo網絡。原文地址點擊鏈接。[2020/2/4]

動態 | Grin成為ASIC友好項目 超過51%的區塊獎勵屬于ASIC:Cuckoo算法的發明者John Tromp在論壇中表示，當前匿名幣項目古靈幣Grin的區塊獎勵中超過一半獎勵已屬于使用Cuckatoo31+算法的專用型挖礦設備（ASIC），這也就意味著Grin變成了一個對ASIC友好的項目。另外Grin也發布了客戶端3.0版本的第二個測試版，以支持明年1月15日左右的硬分叉升級。此前， Grin在其大會GrinCon1中宣布將推出工作量證明算法家族Cuckoo的最新一代Cuckaroom，進一步推進GPU挖礦轉換為專用設備ASIC挖礦設備的進程，Cuckoo算法的發明者John Tromp將會推送相關代碼至Github代碼庫中，并計劃于12月19日左右在測試網Floonet上激活該算法。[2019/12/17]