著名音乐家阿炳

STEPN 5.28 分析

abing@newsletter.paragraph.com (著名音乐家阿炳) — Sat, 28 May 2022 16:25:53 GMT

StepN 分析内容包括：

1、数据分析总结

![ S O L 日出入金一览

](https://images.mirror-media.xyz/publication-images/YUt2qJdPvFXlqisbS52Qm.png?height=1015&width=623)

![ BSC 日出入金一览

](https://images.mirror-media.xyz/publication-images/LL8DJfPg942RR3xjd-CDa.png?height=939&width=631)

①、SOL价格小幅下降、目前40U上下，S链GST价格大幅上涨24.84%、目前S-GST价格在2.01。BNB链GST价格下降9.75%、目前价格13.52。双链的运动收益收到影响。目前sol回本周期大约在40天左右、BNB回本周期在15天左右（静态）。GMT昨日价格昨日上涨13.83%、目前价格1.07U。

②、昨日SOL链的GMT地址小幅上涨3.21%、目前19.7万。GST的持有地址较昨日小幅上涨0.96%、目前56.3万个持有地址、B链GMT地址小幅上涨3.51%目前7.1万、GST地址上涨16.12%、目前1.9万。昨日的持有地址增长较之前大幅上涨！（B-GST地址增加超过2770）

③、目前Sol鞋子的地板价在500U上下、小幅回调一点。进场成本较低。Bnb链鞋子的地板价在6.9bnb（2100U）较之前下降19%。价格较之前下降一点、（目前B-GST的价格是13.52u左右、收益是sol的6倍、收益相差回到之前水平）。

④、昨日S链上新增用户1万人、较昨日下降23.59%、B链昨日新增用户1万人、较之前下降16%。

⑤、昨日S链入场资金59万sol（2669万U）、出场资金56万sol（2556万U）、整体出入金正常。B链昨日入场资金20万BNB（6096万U）、出场资金20万BNB（6041万U）整体链上B链出入金远大于S链的出入金。

⑥、S链池子没有更新、B链GST池子余额1473万U、较之前下降75万U。GMT池子余额变化不大、目前439万U。

2、回本周期数据

这波政策关停是减少了用户的FOMO情绪，给项目方更多时间来延长stepn的寿命，等到正式实行关停之前，肯定会出来鞋子的Rent的，承接住来自大陆的资金防止大量出逃砸盘，这段时间正好是最佳入场时机。

solidity日记第一记

abing@newsletter.paragraph.com (著名音乐家阿炳) — Mon, 16 May 2022 23:04:15 GMT

最近市场走熊市，向前看去黑雾浓烟死寂，苦求后市出路亦或是自我成就之路，尝试深挖项目量化撸毛？内容输出做大IP？深耕代码提升技术能力？这三条路一个也不能落下，三个层面齐头并进，正青春岂能虚度年华，敢想敢做迈出步伐，哪怕是路途遥远步履艰难，也得奋力向前！！！！！！！！！　　　　　　　　————2022年5月17日凌晨4点半海棠花开未眠

这日记就自己写着记录一下每天学习的进度，这里面可能里面会出现一些错误的观点，我也会在学习的过程中不断的去替代这些错误的观点.

这是学solidity的第二天，以往学过一点Python至少是有了一丢的看合约代码的感觉，以下是今天看完--NFT黑魔法第二课做的一点批注，我觉得我应该去记录一下当时的想法以及自己的理解，至少对于我这个初学者而言，可以照猫画虎去点对点的寻找合约的相关安全性问题

a. 审计分析

1. Reentrancy (ｅｇ：the dao attack) (Reentrancy攻击)（重复调取合约相关部分，重复MINT，绕开示例adoped重复调用publicAdopt去进行mint,避开了最后一步对账户的数量NFT 检测）只能用合约去重复调用，用合约地址去MINT

示例token contact: 0x29652C2e9D3656434Bc8133c69258C8d05290f41

1. Safemint or nft transfer must be the last step in function（Safemint 或者nft transfer必须在合约function最后一步）

2. If there is a reentrary guard.（判断是否有阻止合约ｍｉｎｔ的限制）

ii. Ownership take over

1. ownerable （一般没问题都是通过库openzeppelin---ownerble管理）（有了才可以做合约ownership的转换）（合约权限的问题，看有一些函数是不是可以全是owner能够操作）

iii. Timestamp dependency

1. Timestamp attack（通常是矿工利用confirm 区块时，早一点开始确认，只要确认完成后在时间范围内就行）

iv. Dos with Throw

1. refund攻击，指MINT者不能接收到NFT或者TOKEN，就导致合约被卡住.--（可以做白帽子或者心黑胆大一点）

v. Contract interact

1. Txn.origin == msg.sender? （不允许调用合约去进行mint,也就是信息发送者应该等于哈希签名者才可以进行MINT）（在MINT的function里，或者分配类型的function里如果没有，就可以用合约嵌套循环MINT）（如果全局限制嵌套合约操作，会降低项目的可组合性）

然后准备开始练手，拿出我们的 projectPXN 的合约

0x160C404B2b49CBC3240055CEaEE026df1e8497A0

https://etherscan.deth.net/address/0x160c404b2b49cbc3240055ceaee026df1e8497a0#code

开始往下看：

File 1 of 13 : Ghost.sol：

一般来说项目方使用ownerable都是通过库openzeppelin管理，在PXN中我们也可以看到ownerable的相关函数都是import了openzeppelin库的，所以我们只需要对某些特定敏感的Function去判断他是否是能够由owner进行操作的.

第一个Function

~~这是development成员的MINT相关的function~~　

仔细看了一下，这块应该是MINT合约的开放时间解锁，在这一段合约中我看到了timestamp相关的require，可以看出WL_MINT 的时间是86400个区块，对于Timestamp attack我只知道它可以让使用矿工节点的比普通用户较早的mint到NFT，但是我还并不知道如何防范这种attack.

timestamp

这里我有一个疑问，为什么区块时间大于等于WL_STARTING的时间会说WLmint还未开始，区块时间小于等于WL_STARTING+86400的时间会说已经结束了呢。

owner

这边可以看到setDaFinaPlrice,setWLPrice,setWLSigners,setDASigners,setstartTime,setDASigners,setWLSupply等一些敏感数据的权限都是给到的owner，我目前还不知道哪些权限是很重要的，后面还是得去列一个表去对照参考合约进行判断。

Balance of

查找了一遍Balance，发现合约只用Balance查询了用户余额，所以从Balance的弊端去影响到MINT也基本可以排除掉。

Amount　of

团队对于setTeamMint这里，运用了amount of函数，因为第一次看一个完整的合约，不清楚这个的意思，我也就没明白这个的作用是什么，感觉应该是在对MINT 的编号进行递加吧。

Txn.origin == msg.sender

这里有一个require写到了Txn.origin == msg.sender，然后这个require用到了哪些地方呢，我们来看一下：

Contract interact

用到的地方不出所料的就是NFT的MINT相关的function，这里防止的是用户进行Contract interact 去 mintDutchAuction多次，而去进行的require验证.

signature

这里可以看出该合约是用signature的方式去判定白单的，并且做了一个require判断了签名地址和发送地址是同一个.

Reentrancy attack

我看了一下，有关safemint的function都是将safemint放到了function的末尾，这样Reentrancy attack基本上杜绝了，要是不放在末尾我们也可以用