TOK:多個可交易 ERC20 幣種存在嚴重安全隱患，可人為操縱幣價套利_TOKEN

近日，區塊鏈安全公司PeckShield向鏈聞透露：多個已經在主流交易所上線的ERC20幣種的智能合約代碼存在嚴重的安全隱患，「攻擊者」可通過公開的接口，以「零成本」技術手段實施割韭菜套利行為。

PeckShield調查發現，目前已知有700多個ERC20幣種存在此類問題。我們已經證實了至少有數十個幣種已經在包括幣安、火幣以及OKex在內的主流交易所公開上線交易，且交易量巨大。其中最大幣種市值已達1.5億美金，全部幣種共影響波及數十萬投資者。

眾所周知，交易所控著著數字貨幣資產的流進和流出，作為一個數字資產中轉樞紐，交易所自誕生以來漏洞和安全事件就層出不窮，數年來，圍繞交易所出現的黑客攻擊事件，已造成超百億美元的損失。然而，這僅僅是明面上技術漏洞誘發的黑客攻擊事件，幕后還有借助智能合約代碼漏洞實施操縱幣價展開不公平套利行為。

2023年上半年有100多個加密貨幣rugpulls損失約2.195億美元:金色財經報道，PeckShieldAlert發推稱，在2023年上半年，有100多個加密貨幣rugpulls損失約2.195億美元，與2022年上半年保持相同的速度。[2023/7/21 15:50:10]

PeckShield研究大量智能合約代碼發現，攻擊者可使用如下兩種技術手段來操縱幣價：

安全問題一：項目owner可無限增發Token

存在問題的ERC20幣種智能合約有一個僅owner可調用的方法：mintToken，這個可被owner用于增發token。通常一個項目在上交易所之前即預售期，增發行為尚算合理，項目方定向空投一些Token給特定地址，目的是為了激勵社區用戶參與活躍度。但在交易所上線可正常交易后，此種借助智能合約的增發行為會讓項目owner空手套利，會嚴重影響市場平衡。

杜嘉班納NFT拍賣吸引了多個DAO:金色財經報道，多個去中心化自治組織(DAO)已表示有興趣在9月20日參與時尚和奢侈品品牌杜嘉班納（DOLCE&GABBANA）NFT系列的拍賣。此次拍賣包括兩件威尼斯主題的定制連衣裙、三件夾克、兩頂王冠和一頂冠狀頭飾。其中五個NFT的所有者可兌換相應的實物作品。根據一位消息人士的說法，以NFT為重點的DAO很有可能會競標并獲得稀有收藏。歐洲區塊鏈投資公司Outlier Ventures的首席執行官JamieBurke表示，對于個人而言，價格可能會令人望而卻步。因此懷疑潛在買家可能是DAO或擁有社交代幣的社區。[2021/9/8 23:08:06]

圖一：受影響智能合約存在的mintToken問題

糟糕的是，我們已經發現有10余種存在此類問題的可交易Token，他們存在于23個包括Binance和OKex這樣的頂級交易所，且目前交易量巨大，一旦被利用可以影響數以萬計的投資者。

動態 | MOMOEX平臺ETF專區已上線多個幣種 LTC3L領漲12.37%:據官方消息，MOMO平臺ETF專區現已上線BTC3L、 BTC3S、ETH3L、 ETH3S、EOS3L、 EOS3S、XRP3L、XRP3S、BCH3L、BCH3S、BSV3L、BSV3S、ETC3L、ETC3S、LTC3L、LTC3S等幣種，即將會上線更多幣種。

ETF與期貨合約產品類似，杠桿ETF產品都是帶有杠桿效應的衍生品。但是相較期貨合約，杠桿ETF產品主要有以下特點：（1）現貨式交易，無需保證金：用戶可像交易現貨產品一樣交易該杠桿產品。（2）由于杠桿ETF產品的內在特征，我們會對基金的投資組合進行定期再平衡，所以投資者不必擔心出現爆倉的風險。

MOMOEX數字資產管理與交易平臺，是現有平臺中幣種數量最多，幣對數量最全，流動性最好的數字貨幣交易所平臺之一。[2020/2/19]

以下為披露此信息時，我們已經發現的10個存在此問題的Token。

聲音 | 小牛資本：區塊鏈技術應用已延伸到數字金融等多個數字化領域:近日，中歐國際工商學院北京校區新年論壇在北京召開，中國國際經濟交流中心副理事長黃奇帆出席并發表主題演講，深度解讀了數字化的構成與顛覆性作用，以及區塊鏈技術的特征、應用場景和問題防范。黃奇帆指出，數字化平臺在區塊鏈技術的改造之下，基礎功能和應用將得到大幅度擴展。對此，小牛資本金融研究院認為，區塊鏈技術應用已延伸到數字金融、數字資產交易等多個數字化領域，而隨著5G的到來，將促進\"區塊鏈+數字化\"大幅度發展，相關應用不斷優化。（中國經營網）[2019/12/20]

安全問題二：可操縱的價格和不公平的套利行為

存在問題的ERC20幣種的智能合約有三個可調用方法：

1)setPrices:僅owner可訪問，用來調整通過方法buy以及sell進行的token的買賣價格(即buyPrice/sellPrice)；

2)buy:公開且任意可訪問方法，根據buyPrice購買token；

3)sell:公開且任意可訪問方法，根據sellPrice購買token。

為描述方便起見，我們將buyPrice/sellPrice稱之為owner可操縱價格，并將token在交易所的價格稱為市場價格。

圖二：可操縱和利用的智能合約接口

按理說，一個幣種上交易所后，交易走量都需要通過交易平臺，成交時的買賣價格也是和市場保持同步的。然而，我們在圖二代碼中發現，項目owner可以通過智能合約任意修改買入價和賣出價，完全不需要依照市場價格。這樣以來「套利」空間就有了，套利者可以在Token市場價格略高通過接口定一個較低的買入價，然后再以市場價格賣出，套利者還可以用市場價格買入Token，再設定一個比市場價格高的價格賣出。不管怎樣，這是一種干涉市場對流通Token「定價權」的行為，嚴重點講已經控制了市場，對市場上其他投資者而言存在極大的不公平。

以下為披露信息時，我們已經發現的9個存在此問題的Token。

截至目前為止，已發現9個可交易的token，在26個交易所上線交易。其中如SUB、INT和SWFTC等token都在主流的交易所上線并擁有巨大的交易量和影響力。

其它安全問題

我們進一步研究發現，如圖三和圖四，sell或buy方法中存在整數溢出漏洞，項目owner在布局第二種套利行為的時候，可以設計一個套利陷阱，owner能夠利用該漏洞損害普通用戶應得的收益。

圖三：受影響的買方智能合約類別

圖四：受影響的賣方智能合約類別

通常來講，傳統股票證券市場存在這樣的「割韭菜」套路，幕后大莊通過周期性低拉高拋來制造市場震蕩來收割韭菜，利用的是不少散戶投資者盲目追漲殺跌的心理。大多數情況下，數字貨幣市場的大部分割韭菜行為也是基于此市場化操盤來實現。我們最新發現的此種借助智能合約漏洞割韭菜的方式，不經過市場，以技術手段進行零成本收割，對數字貨幣市場的穩定性威脅極大。

6月9日，PeckShield發現了上述安全隱患，在評估了安全威脅之后第一時間通知了相關交易所，希望攜手交易所來共同預防危機的發生。不少交易所(如幣安)和項目方(如Substratum，即SUB)在得到通報后已積極做出了響應。詳情請參見：https://peckshield.com/2018/06/11/tradeTrap。通過此次更詳細的漏洞披露，我們可以看到安全漏洞背后的技術細節，也認識到此類安全問題存在的危害性，希望個多的交易所和項目方能夠和我們通力合作，一同提高智能合約生態系統的安全性。

本文來源于非小號媒體平臺：

鏈聞ChainNews

現已在非小號資訊平臺發布1篇作品，

非小號開放平臺歡迎幣圈作者入駐

入駐指南：

/apply_guide/

本文網址：

/news/3626877.html

免責聲明：

1.資訊內容不構成投資建議，投資者應獨立決策并自行承擔風險

2.本文版權歸屬原作所有，僅代表作者本人觀點，不代表非小號的觀點或立場

下一篇：

EOS主網上線為何難產？具體進展如何？

Tags：TOKKENTOKETOKENimtoken中文官網BIX TokenLINKA TokenLEO Token

芝麻開門交易所