TRANS:Creat future慘遭隨意轉移幣，幕后黑手究竟是誰？_Translatix

前言

CF代幣合約被發現存在漏洞，它允許任何人轉移他人的CF余額。到目前為止，損失約為190萬美元，而pancakeswap上CF/USDT交易對已經受到影響。知道創宇區塊鏈安全實驗室第一時間對本次事件深入跟蹤并進行分析。

事件詳情

Ripple公布NFT創作者基金Ripple Creator Fund第二批接受者名單:10月18日消息，Ripple已公布其2.5億美元的創作者基金Ripple Creator Fund的第二批受助者名單，包括元宇宙平臺 9LEVEL9、日本NFT市場Anifie、NFT體育平臺Capital Block、XRP NFT市場NFT Master、NFT IP公司SYFR Projects、NFT會員項目ThinkingCrypto等。

據悉，Ripple本次總共收到了大約4,000份申請，他們計劃在今年第四季度的某個時候宣布第三批也是最后一批創作者基金的獲得者。（Decrypt）[2022/10/18 17:31:19]

受影響的合約地址

Cream社區通過投票，正式支持合規穩定幣HUSD:據悉，DeFi平臺Cream Finance官方發布推文表示，通過公開的鏈上投票表決，Cream平臺現已經正式宣布支持合規穩定幣HUSD，用戶可以在平臺供應和借出HUSD。 在該份治理提案投票中，共計約4.56萬個CREAM投向贊成票，反對票數為0。

Cream Finance 是一個開放包容的去中心化智能合約利率協議，目標是為盡可能多的用戶和資產提供算法驅動的流動性。此前，YFI創始人Andre Cronje在Twitter發文表示，Yearn和Cream開發人員將合作推出Cream v2版本，將會專注于提供核心借貸和杠桿產品。

HUSD是由Stable Universal發行的合規穩定幣,與美元1:1錨定。HUSD團隊旨在將HUSD打造成為安全、合規、便捷的穩定幣。[2020/12/3 22:57:30]

https://bscscan

加密借貸平臺Cred用戶要求就平臺破產及資金安全進行答復:11月9日消息，加密借貸平臺Cred Inc.已在美國特拉華州申請破產保護，對此該平臺用戶要求官方就平臺破產及資金安全進行答復。有用戶表示：“只是想知道資金是安全的。請在下次更新時解決這個問題，而不是在下次公告時宣布。”目前，Cred平臺更新了其網站，并附上了破產文件相關信息，但很多用戶表示并未收到信息。而有用戶AwsomeNada稱，在官方暫停資金流入流出之前，其最后一筆交易向平臺存入了7250 XRP（約1829美元），對此，想要知道官方如何解決資金問題。（Cointelegraph）[2020/11/9 12:03:39]

uint256fee=0;..

_transfer()函數是直接轉移代幣transfer()和授權轉移代幣transferFrom()的具體實現，但該函數的修飾器是public，因此任何人都可以不通過transfer()或transferFrom()函數直接調用它。而當變量useWhiteListSwith設置為False時，該函數不會檢查調用地址和傳輸地址是否合規，直接將代幣轉移到指定地址。

在區塊高度為16841993時，管理員就把useWhiteListSwith設置為False：

此時開始有攻擊者利用_transfer()函數直接轉移代幣：

總結

經過完整分析，知道創宇區塊鏈安全實驗室明確了該次事件的源頭由函數本身權限出現問題，而管理員同時操作不慎關閉了白名單檢測，兩方結合導致攻擊者可以實現轉移任意錢包代幣的操作。

在核心函數上我們一直建議使用最小權限原則，像這次的_transfer()函數本不該用public修飾器，使得transferFrom()函數檢查授權額度的功能形同虛設；而合約管理者也不該隨意修改關鍵變量值，導致攻擊者可以繞過白名單檢查的最后一道防線。

合約不僅僅是代碼層面的安全，不光需要白盒代碼審計，更需要合約管理員共同合理維護。

Tags：CREREACREATRANSCreamPYEethereal深層含義Translatix

XRP