買以太坊 買以太坊
Ctrl+D 買以太坊
ads
首頁 > 火星幣 > Info

DAO:3619份以太坊代幣合約存在“假充值”漏洞風險?智能合約漏洞了解一下_ETH

Author:

Time:1900/1/1 0:00:00

繼USDT發生“假充值”漏洞后,近日,慢霧區再曝以太坊代幣“假充值”漏洞。據慢霧區今日消息,以太坊代幣“假充值”漏洞目前影響廣泛,相關中心化交易所、中心化錢包、代幣合約等均受影響。單代幣合約,不完全統計就有3619份存在“假充值”漏洞風險,其中不乏知名代幣。并強調當前漏洞已發生真實攻擊,督促相關項目方應盡快自查。7月9日,慢霧區曾發布以太坊代幣“假充值”漏洞攻擊預警。據其披露的細節,在用戶進行轉賬時,一些代幣合約的transfer函數對轉賬發起人(msg.sender)的余額檢查用的是if判斷方式,而這種溫和的判斷方式在transfer這類敏感函數場景中并非一種嚴謹的編碼方式,這種不嚴謹的編碼方式是一種安全缺陷,這種安全缺陷可能會導致特殊場景下的安全問題。攻擊者可以利用存在該缺陷的代幣合約向中心化交易所、錢包等服務平臺發起充值操作,若交易所僅判斷如TxReceiptStatus是success,則就有可能以為充幣成功,產生“假充值”“假交易”。對于修復方案,慢霧區認為,已有漏洞的代幣最好的方式是重發,然后新舊代幣做好“映射”。此外,交易所、平臺方、代幣合約方均應承擔起安全責任。對于交易所來說,應在判斷交易事務success之外,還應二次判斷充值錢包地址的balance是否準確的增加;對于平臺方來說,在對接新上線的代幣合約之前,應該做好嚴格的安全審計;對于代幣合約方來說,應該嚴格執行最佳安全實踐,并請第三方職業安全審計機構完成嚴謹完備的安全審計。漏洞細節發出后,截至發稿前,已有IOST官方表示其合作交易所均無“假充值”風險。回顧6月份發生的USDT“假充值”漏洞,其漏洞邏輯也并無二致,攻擊者同樣是利?交易所對USDT交易轉賬的判斷邏輯缺陷,惡意構造虛假轉賬盜取交易所代幣。智能合約本質是一段運行在區塊鏈網絡中的代碼,它完成用戶所賦予的業務邏輯。隨著當前智能合約漏洞出現的頻率愈加頻繁,其安全問題也逐漸引起公眾重視。據RatingToken統計數據,當前區塊鏈世界中每日新增智能合約從4W-18W不等,而在白帽匯安全研究院的《區塊鏈產業安全分析報告》中,由于智能合約所導致的安全問題已經造成了12.4億美元的損失,占到了總損失的43.3%。2016年6月,以1.5億美元成為當時最大金額ICO的TheDAO,因其智能合約出現“遞歸調用漏洞”遭黑客攻擊,導致價值6000萬美元以太幣被盜。該漏洞具體來說,即在調用方使用splitDAO函數調用DAO資產時,該漏洞將允許該函數非法的再次調用自己,然后不斷重復這個過程。這樣的遞歸調用可以使得攻擊者的DAO資產在被清零之前,數十次的從TheDAO的資產池里重復分離出來理應被清零的攻擊者的DAO資產,這是以太坊歷史上的一次大型安全丑聞,也直接導致了硬分叉。而在2018年,新的漏洞也在出現,以SMT、BEC、EDU、BAI為代表的代幣智能合約漏洞都在轉賬邏輯中產生了“整數溢出漏洞”,該漏洞可導致代幣可以無限增發或任意轉賬。以美鏈BEC為例,黑客利用以太坊ERC-20智能合約中BatchOverFlow漏洞中的數據溢出的漏洞,攻擊了美鏈BEC的智能合約,通過轉賬的手段生成合約中不存在的、巨量的Token并將其轉入正常賬戶,并且賬戶中收到的Token可以正常地轉入交易所進行交易,與真的Token并無差別。另外,新加坡國立大學的LoiLuu等人也曾發現“交易順序依賴漏洞”,他們指出,在智能合約執行的過程中,由于發起方對函數調用的順序不同,可能會產生不同的輸出結果,形成業務邏輯漏洞。針對當前智能合約產生的漏洞,區塊風豹實驗室技術負責人張文君向星球日報表示,如以危險級別為標準,當前合約漏洞可分為高危、中危、低危漏洞。具體來說,在高危漏洞上,合約代碼中可能存在整數的上下溢出,攻擊者可用于盜取資金、惡意轉賬等;在中危漏洞上,交易金額無法篡改,但在調用外部合約上存在漏洞,攻擊者可用于雙花攻擊、惡意轉賬;低危漏洞中,則體現在合約撰寫不規范,部署的時候導致更多費用的問題,給調用方造成經濟損失,存在優化的空間。

某stETH巨鯨昨天買入173.5枚WBTC和3616枚ETH:金色財經報道,據推特用戶余燼監測,某stETH巨鯨昨天花費1179萬U以29351美元均價買進173.5枚WBTC(509萬美元)和1851美元均價買入3616枚ETH(670萬美元)。[2023/7/27 16:02:10]

CoinShares:上周數字資產投資產品凈流入1.361億美元:7月10日消息,CoinShares最新周報顯示,上周數字資產投資產品凈流入1.361億美元,連續三周的凈流入總額達到4.7億美元。其中,上周比特幣投資產品凈流入1.328億美元。以太坊投資產品凈流入290萬美元。做空比特幣的投資產品凈流出180萬美元。

區塊鏈股票迎來一年來最大的資金流入,總計1500萬美元。[2023/7/10 10:46:16]

SwapX攻擊事件黑客地址將3617.5枚BNB轉至Tornado.Cash:金色財經消息,據CertiK監測,被BscScan標記為“Fake_Phishing750”的黑客地址(0xdead...b137)將3617.5枚BNB(價值約112萬美元)轉至Tornado Cash。該地址與2月swapX漏洞攻擊事件存在關聯。[2023/5/21 15:16:49]

25,361枚ETH從未知錢包轉移到Coinbase:金色財經報道,據WhaleStats監測,25,361 枚ETH(40,665,598 美元)從未知錢包轉移到Coinbase。[2023/2/27 12:30:53]

Tags:ETH以太坊DAOTOKETHBACK價格以太坊價格今日行情LegioDAO3X Long OKB Token

火星幣
區塊鏈:區塊鏈日報 | 樂視網遭深交所問詢;以太坊活躍地址數降至近兩月最低?;HTC區塊鏈手機成熱詞第一_EOS

頭條樂視網收到深交所問詢函,要求說明區塊鏈業務可行性樂視網收到深交所問詢函,要求說明公司區塊鏈業務是否具有可行性,開展與區塊鏈相關業務是否存在政策與法律風險,是否存在利用熱點概念炒作股價情形.

1900/1/1 0:00:00
OIN:押注聯盟鏈,京東將于8月上線全球區塊鏈防偽追溯聯盟主鏈_全球加密貨幣市值

7月5日消息,星球日報獲悉,由京東自主研發的區塊鏈即服務平臺即將正式上線,全球區塊鏈防偽追溯聯盟主鏈即將在8月初正式上線.

1900/1/1 0:00:00
區塊鏈:研究了EOS體系224個Dapp后,最大贏家還是超級節點_TPS

編者按:本文來自區間集,作者:熊貓、Vinnie,星球日報經授權發布。2018年是公鏈角逐最激烈的一年,底層公鏈層出不窮,其中最引人注目的當屬EOS.

1900/1/1 0:00:00
COI:時隔多年,中本聰留下的秘密私鑰終于公開_COIN

上月21日,BitcoinCore開發者BryanBishop發推文預言道,我正考慮在7月初公開中本聰離開前委托給幾位開發者的警報密鑰.

1900/1/1 0:00:00
ROS:暗網創始人 Ross Ulbricht 開通推特與支持者互動,會扭轉審判嗎?_NICHEMAN

根據CNN消息,近日,暗網的創始人RossUlbricht開通了推特賬號@RealRossU,RossUlbricht的推特賬號在一天之內吸引了上千名粉絲,并且粉絲量還在持續上漲.

1900/1/1 0:00:00
比特幣:你居然還以為區塊鏈更安全,我也是醉了_區塊鏈

警鐘早晚是要到來的。深諳媒體套路的360對EOS打的一個響指,像區塊鏈領域的一顆深水炸彈,喚醒了圈內人對公鏈安全性的重視。所謂“安全”似乎永遠是一個薛定諤的狀態.

1900/1/1 0:00:00
ads