Creat future慘遭隨意轉移幣，幕后黑手究竟是誰？-ODAILY_CRE:ASTRAFER

前言

CF代幣合約被發現存在漏洞，它允許任何人轉移他人的CF余額。到目前為止，損失約為190萬美元，而pancakeswap上CF/USDT交易對已經受到影響。知道創宇區塊鏈安全實驗室第一時間對本次事件深入跟蹤并進行分析。

事件詳情

受影響的合約地址

https://bscscan

加密交易平臺Uphold要求法院駁回Cred對其的訴訟指控:1月12日消息，加密交易平臺Uphold否認欠加密借貸平臺Cred的清算信托約7.84億美元，并提出動議要求駁回Cred于2022年6月對該公司提起的訴訟中的所有罪名。Uphold稱Cred清算信托對其的指控不連貫、結論性和陰謀性，敦促特拉華州破產法院駁回這些指控，并表示與Cred的破產無關。

此前報道，去年6月Cred的清算信托起訴Uphold并索賠7.84億美元，稱其推出的產品CredEarn導致Cred在2020年破產。[2023/1/12 11:08:08]

uint256fee=0;..

Morgan Creek Digital宣布其風險基金MCD III籌集8000萬美元:Morgan Creek Capital Management, LLC數字資產投資業務Morgan Creek Digital宣布，其第三只專注于區塊鏈技術和數字資產的風險基金Morgan Creek Digital Fund III首次關閉，籌集8000萬美元，目標規模為4億美元。MCD III將專注于投資區塊鏈智能，將區塊鏈技術和人工智能結合在一起，跨越數字資產、DeFi（分散金融）和數據基礎設施公司。（PR NewsWire）[2021/6/26 0:08:00]

_transfer()函數是直接轉移代幣transfer()和授權轉移代幣transferFrom()的具體實現，但該函數的修飾器是public，因此任何人都可以不通過transfer()或transferFrom()函數直接調用它。而當變量useWhiteListSwith設置為False時，該函數不會檢查調用地址和傳輸地址是否合規，直接將代幣轉移到指定地址。

聲音 | Morgan Creek創始人：投資比特幣可幫助公共養老金計劃實現目標回報率:資本管理公司Morgan Creek創始人Anthony Pompliano今日發推稱：“去年，資產超過10億美元的公共養老金計劃的回報率目標為7.25%。他們沒有達成目標，其平均回報率為6.79%。如果他們有1%的資產是比特幣的話，這一目標就可以實現。”[2019/8/7]

在區塊高度為16841993時，管理員就把useWhiteListSwith設置為False：

此時開始有攻擊者利用_transfer()函數直接轉移代幣：

總結

經過完整分析，知道創宇區塊鏈安全實驗室明確了該次事件的源頭由函數本身權限出現問題，而管理員同時操作不慎關閉了白名單檢測，兩方結合導致攻擊者可以實現轉移任意錢包代幣的操作。

在核心函數上我們一直建議使用最小權限原則，像這次的_transfer()函數本不該用public修飾器，使得transferFrom()函數檢查授權額度的功能形同虛設；而合約管理者也不該隨意修改關鍵變量值，導致攻擊者可以繞過白名單檢查的最后一道防線。

合約不僅僅是代碼層面的安全，不光需要白盒代碼審計，更需要合約管理員共同合理維護。

Tags：CREANSCredFERWrapped Secret (ERC20)Whale LoansBTCREDASTRAFER

幣安app下載