編者按:本文來自區塊律動BlockBeats,作者:0x2,星球日報經授權轉載。又是安全漏洞,又和交易所有關。今天,區塊鏈安全團隊PeckShield曝光了名為tradeTrap的智能合約漏洞,該漏洞可讓黑客隨意操控幣價、隨意增發Token,該漏洞已影響十余種可在交易所交易的Token。截至文章發布,涉及的交易所已成功修復該漏洞。這個名叫tradeTrap的智能合約漏洞波及700多個ERC-20Token,其中也包括AI、SUB、NTO、TGT、FC、TBT等Token在內的數十個已經在交易所交易的Token,涉及幣安、火幣、OKEx、HitBTC、ZB、EtherDelta、IDEX等26家交易所。該漏洞是今年發現的影響用戶數量最大、涉及幣種最多、涉及交易所最多的安全漏洞,據悉該漏洞可能有意或無意被開發人員預留在智能合約中,若用意良好不會造成影響,但是如果被黑客濫用,可以輕松地實現非法套利和操控價格的安全事件發生。史上影響范圍最大的智能合約漏洞細節曝光
余弦:智能合約語言層的bug導致一些知名項目的重入鎖防御失效:金色財經報道,慢霧創始人余弦針對受CurveFinance穩定幣池alETH/msETH/pETH黑客攻擊事件影響發推稱,智能合約語言層的bug導致一些知名項目的重入鎖防御失效,黑白帽黑客們及MEV Bots瘋狂了,各種重入操縱及搶跑拿走資金。所幸這次不是Solidity,而是不那么流行的Vyper出問題。[2023/7/31 16:08:41]
區塊律動BlockBeats從PeckShield團隊處了解到,tradeTrap漏洞包括多個已知的安全問題:黑客可以通過mintToken()函數來隨意增加Token余額黑客可利用setPrices()buy()sell()三個函數來操縱Token價格,并且進行不公平的套利行為BuyTrap和SellTrap,可讓購買者和出售者成功付款后無法收到Token或者賣出后無法獲得收入等。在存在tradeTrap漏洞的智能合約中,PeckShield發現一個名為mintToken()的函數,該函數可被黑客用于隨意向任一以太坊地址增發Token余額。一般來講,該函數只能被合約擁有者控制使用,用于合約Token的增發。該函數主要用于Token預售階段,項目方可利用該函數向私募投資者發行相應的Token,在預售結束后理應停止使用該函數。但是實際上,該函數在預售結束后依舊可以隨意使用。如果項目方并未曝光增發計劃而濫用該函數,可以向任一以太坊地址增發項目Token。憑空增發的Token數量,將會擾亂該Token的市場交易,給投資者帶去損失。以存在該漏洞的Substratum為例,該項目的Token總量在各個平臺上存在巨大差距,有惡意增發的嫌疑。EtherScan中查詢SUBToken合約地址中有5.92億Token,非小號、Coinmarketcap等數據平臺顯示SUBToken發行總量為4.72億枚。區塊律動BlockBeats也發現Substratum的白皮書中Token發行量也有過多次變更,在2017年8月的白皮書中,其發行數量為6億Token,在12月白皮書中,發行數量為2.26億。在與PeckShield團隊溝通后發現Substratum確實調用過mintToken()函數,做過一次5.8億枚Token的增發,說明該接口的漏洞確實有效可用。目前該團隊已經Medium發表聲明表示僅在測試網絡使用過該函數,并未在交易后進行過增發。另外一個安全問題存在于價格操縱上。在出現這類問題的智能合約中,有setPrice()、buy()、sell()三個函數,該函數只能由智能合約擁有者進行控制,可以規定Token的購買和銷售價格。公眾可以直接使用buy()、sell()函數來進行Token的買賣行為。仔細閱讀合約代碼就會發現,在該合約中Token的價格是由合約的所有人來進行控制的,但是市場中流通Token的購買和銷售價格其實應該由市場來決定,該漏洞讓黑客有可乘之機,能夠操縱價格套利。在受到此漏洞影響的智能合約中,用戶是可以通過智能合約的buyPrice和sellPrice與項目方進行交易的,比如EOS的眾籌就是這種可以允許用戶與合約進行交易,與此同時EOS又可以在交易所進行交易。但是智能合約中的buyPrice和sellPrice數值并不能與市場進行及時更新,在更新過程中產生的合約價格與市場價格的差距,就形成了套利空間。在某些情況下,心懷不軌的交易所可以利用該漏洞來低價買入Token,然后充幣到交易所后再按照市場高價賣出,形成交易所自己進行的套利,這實際上是違背商業道德的行為。目前該漏洞影響了INT、SUB、SWFTC等的Token,這些Token正在OKEx、火幣、HitBTC、IDEX、EtherDelta等交易所進行交易。交易所已經修復tradeTrap漏洞,用戶可安全交易
Filecoin VM已部署總計2500個智能合約,已創建9.1萬個錢包:金色財經報道,Filecoin Network發文稱,自3月14日上線以來,Filecoin VM已部署總計2500個智能合約,已創建9.1萬個錢包,每日發送9.32萬枚FIL,已部署1210個獨立智能合約,已從FEVM地址發送283萬枚FIL。此外,Filecoin表示,2023年下半年將優先考慮FVMDApp用戶以及使用FVM的開發者體驗。團隊計劃專注于小型存儲交易,推動Filecoin與FVM實現存儲民主化,允許圍繞個人用戶上傳的數據構建DApp和DAO。Filecoin還在構建一個分布式聚合標準,允許任何人為FVM創建“數據投遞箱”,以實現無信任聚合并通過FVM在鏈上進行管理。未來,Filecoin還將推出分布式計算、數據市場以及用LLM和生成式AI構建的DAO。[2023/6/30 22:10:34]
因為之前360在EOS漏洞曝光后的公關行為給市場造成了巨大的影響,導致大量投資人因為信息溝通不暢而造成資產損失,PeckShield團隊決定不在漏洞發現的第一時間將漏洞向公眾曝光,而是與交易所進行溝通確認和修復后再報告漏洞詳情,保證漏洞通報流程的合規。創始人蔣旭憲告訴區塊律動BlockBeats,「我們不希望漏洞第一時間曝光會給市場帶來負面影響,畢竟tradeTrap漏洞涉及多個正在交易所交易的Token,隨意地曝光可能會給市場帶去恐慌,給廣大投資者造成不必要的損失。」目前幣安、火幣、OKEx、OKCoinKR、CoinEgg、Kucoin、Allcoin、HitBTC、Bitbns、ZB、OTCBTC、CoinBene、COSS、Etherdelta、ForkDelta、IDEX、YEX、Tidex、RadarRelay、Yobit、WazirX、CoinExchange、CoinSpot、Bluetrade、CEX、LiveCoin等26家交易所均以確認漏洞,幣安等交易所已與SUB項目方確認漏洞無重大影響,用戶可以放心交易。但是我們不禁要問下面這個問題:為何總是等到安全團隊出馬才能修復漏洞?自從4月份開始有安全團隊曝光區塊鏈安全漏洞以來,都是安全團隊率先通報漏洞,然后涉事的交易所、項目方才跟進的,總是慢一步。區塊律動BlockBeats無數次地在安全漏洞發生后向涉事方發出質問,尤其是交易所,我們是否做好了審核工作?所謂的上幣審核是否只是一個形式流程?而最近多家交易所更是隨意上幣,完全不走投票上幣的流程。OKEx上幣了一個沒有任何是實質信息的BEC、火幣上了玉紅的純概念社區幣XMX、幣安上線涉嫌誤導消費者的QuarkChain,投資者看到的是媒體撲天蓋地的宣傳和潛在的投資機會,但區塊律動BlockBeats看到的卻是利益關聯、內幕交易,這種「走關系」的行為不僅毫無安全性可言,更是為區塊鏈安全事件埋下了「伏筆」。以上面提到的set/buy/sellPrice漏洞為例,交易所是完全有機會利用這個合約漏洞來低價買入Token,隨后在市場高漲的時候賣出,實現套利,或者利用低成本Token來操縱幣價,以此獲得利潤。但是為了避免這種事情敗露,交易所的充幣地址會定期更換,導致Token在流向交易所后就失去了蹤跡。對于調查員來說,交易所是目前整個區塊鏈生態系統中最大的黑洞,所有的去中心化、透明手段在經過中心化交易所這一手之后,都將變得無法追蹤,使區塊鏈本身失去了意義。交易所目前面對安全問題的處理方法是遇到一個,處理一個,對于未來可能出現的安全問題,不采取任何預防措施,也不會在問題發生時及時通知用戶來止損,對于已經出現問題的Token,也沒有任何有效的補救措施。比如最近發生的EDU合約漏洞,火幣網的做法僅僅是應項目方要求修復漏洞后重新上幣交易而已,受損的投資者,只能看著自己的資產余額下降。中心化的交易所應該承擔安全問題為投資者帶來的經濟損失,雖然虛擬貨幣為高風險的投資項目,但承擔上幣審核和交易安全的是交易所,保證交易安全和資金安全是中心化的交易所義不容辭的責任。雖然區塊律動BlockBeats對過度宣傳的陳偉星不感冒,但還是希望他的「透明計劃」能有效地地推進下去,是時候管管交易所了。
跨鏈智能合約平臺Clover發布波卡插槽競拍策略:11月5日消息,跨鏈智能合約平臺Clover發布波卡插槽競拍策略,將參與前5個插槽拍賣,使用代幣CLV總供應量的20%(2000萬枚CLV)建立代幣獎勵池獎勵眾貸支持者,平行鏈拍賣開始時間為11月11日,當拍賣成功、項目平行鏈啟動時,立即發放28%的眾貸獎勵其余的72%,將在接下來的23個月里,按月解鎖。若Clover在第一批拍賣中未成功競拍,將用額外的CLV補償眾貸活動中的貢獻者。[2021/11/5 6:33:37]
Unit Protocol通過CertiK的智能合約的安全審計:區塊鏈安全公司CertiK已完成了對Unit Protocol智能合約的安全審計,未發現重大或關鍵漏洞。[2020/9/30]
觀點:企業采用智能合約和區塊鏈技術的速度將加快:Chainlink首席執行官Sergey Nazarov和Interwork Alliance主席Ron Resnick表示,企業采用智能合約和區塊鏈技術的速度很快就會達到峰值。(Cointelegraph)[2020/7/9]
Tags:TOKKENTOKENTOKEVANCAT Sperm TokenDOGBSC TokenKRWb Tokenitoken錢包怎么提現人民幣
ICON是韓國最大跨鏈區塊鏈項目,目前估值已經達到了16億美元。據悉,ICON已經宣布與日本即時通訊應用巨頭LINE建立了正式合作伙伴關系,后者目前月活躍用戶量已經超過了2億.
1900/1/1 0:00:00隨著數字貨幣涌入越來越多投資者,數字資產的“二級市場”也迎來了機會。Odaily星球日報獲悉,量化交易投資項目可盈科技近日已獲得1500萬美元Pre-A輪融資,投資方為政府基金雄岸基金.
1900/1/1 0:00:00編者按:本文來自橙皮書,作者orangefans,星球日報經授權轉載。目前存在三類加密數字貨幣:資產型通證、證券型通證和實用型通證.
1900/1/1 0:00:00數據顯示,2017年被礦工買走的顯卡超過300萬塊,總價值約7.76億美元,平均每一塊超過250美元,且都是中高端卡,AMD顯卡占多數。可以看出,區塊鏈技術正在重新定義計算機硬件的使用方式.
1900/1/1 0:00:00在最近的一次采訪中,以太坊錢包imToken創始人何斌談到了公司的發展。截至目前,imToken錢包里持有價值350億美元的加密資產——包括一些主要加密貨幣公司擁有的資金,比如Coinbase.
1900/1/1 0:00:00接觸了一批公有鏈,也聊到過不少“有趣”的共識機制和網絡結構,“三鏈合一”系統架構還是第一次聽說.
1900/1/1 0:00:00