首發 | DeFi項目Based智能合約出現漏洞 發生了什么？_BAS:BASED

“亡羊補牢，為時未晚”，這句話在生活中的大部分時候均適用。然而，在面臨網絡安全時，牢破也許就會造成無法挽回的損失。

在安全問題未造成不可彌補的損失前就被發現，或是一開始便做好萬全準備，才是身為區塊鏈從業者的安全第一要義。

北京時間8月14日下午，CertiK安全技術團隊發現DeFi匿名耕種項目Based官方宣布有攻擊者通過調用Based智能合約中的某一個函數，將一號池（Pool 1）凍結，同時宣布將重新部署其一號池。

LBank藍貝殼于4月10日01:00首發 BOSON，開放USDT交易:據官方公告，4月10日01:00，LBank藍貝殼首發BOSON(Boson Protocol)，開放USDT交易，4月9日23:00開放充值，4月12日16:00開放提現。上線同一時間開啟充值交易BOSON瓜分10,000 USDT。

LBank藍貝殼于4月10日01:00開啟充值交易BOSON瓜分10,000 USDT。用戶凈充值數量不少于1枚BOSON ，可按凈充值量獲得等值1%的BOSON的USDT獎勵；交易賽將根據用戶的BOSON交易量進行排名，前30名可按個人交易量占比瓜分USDT。詳情請點擊官方公告。[2021/4/7 19:54:33]

官方發布推特稱，有黑客試圖將“Pool1”永久凍結，但嘗試失敗。而“Pool1”將繼續按計劃進行。

首發 | 區塊鏈技術及軟件安全實戰基地正式成立:金色財經報道，今日，中軟協區塊鏈分會、人民大學、菏澤市局相關部門聯合共建的區塊鏈技術及軟件安全實戰基地正式成立。同時聘任中軟協區塊鏈分會副秘書長宋愛陸為區塊鏈技術及軟件安全實戰基地特別專家。

區塊鏈技術及軟件安全實戰基地主要涉及領域為：非法數字貨幣交易與洗錢、區塊鏈傳銷與電信詐騙、網絡賭博、四方支付、冒用商標注冊等，聯合社會治理、城市安全、前沿技術領域的行業專家，進行警協合作。

據公開報道，近期菏澤市下屬機關剛破獲一起特大電信網絡詐騙案，打掉多個涉嫌以網貸和投資“比特幣”為名的詐騙團伙，抓獲犯罪嫌疑人83名，扣押凍結涉案資金2700萬元。[2020/7/21]

CertiK通過分析該智能合約，認為這次凍結Based項目一號池事件，是一次由于存在智能合約漏洞導致的事故。

首發 | DVP: Bitstamp交易所存在漏洞 可導致大量KYC等信息被泄露:金色財經訊，近日，DVP收到安全人員提交的全球知名交易所Bitstamp的漏洞，攻擊者可以利用該漏洞查看大量用戶ID、銀行卡等敏感信息，嚴重威脅用戶信息安全。為避免發生KYC泄露的惡性事件，DVP安全團隊在收到該漏洞后，第一時間通知該平臺進行修復，但未收到回應。DVP提醒相關用戶關注個人信息安全，以免造成損失。[2019/8/13]

IMEOS首發 EOS Go公布新增兩條復選條件 :據金色財經合作伙伴IMEOS報道：今日，EOS Go在 steemit上公布新增的兩條復選條件為：

1. 保證安全的計劃：候選節點是否在steemit上發布文章介紹該節點的安全方法和計劃，“安全方法”標準是向EOS選民展示安全最佳實踐知識和組織實施計劃的機會；

2. 立場：描述該節點分享通脹獎勵和/或向EOS代幣持有人派發股息的立場（候選節點在steemit發布）。主要闡述以下兩個問題：

該組織是否會出于任何原因向EOS令牌選民提供支付，包括BP選舉和社區建議？

該組織是否有書面的無票付款政策？如果是這樣，請提供一個鏈接。[2018/4/27]

Based團隊部署一號池智能合約，部署地址為0x77caF750cC58C148D47fD52DdDe43575AA179d1f。

Based官方通過調用智能合約中的renounceOwnership函數來聲明智能合約所有者，但未進行智能合約初始化。

由于在Based智能合約中initialize函數被錯誤的設置為可以被外部調用，因此造成在初始化智能合約過程中，一號池的智能合約被外部攻擊者用錯誤的值初始化。

錯誤的初始化造成Based官方無法再次初始化一號池的智能合約，因此造成一號池被凍結，任何質押行為都無法完成。

Based官方決定放棄該智能合約，重新部署一號池智能合約。 

1. Based團隊在部署智能合約后，沒有及時的調用下圖的initialize函數來初始化智能合約的設置：

2. 外部調用者利用Based團隊在部署和初始化智能合約之間的時間差，乘機調用了下圖中671行被錯誤設置調用范圍的initialize函數，搶先初始化了一號池的智能合約：

3. 上圖兩個initialize函數都是由initializer的修飾符修飾。根據其中代碼，如果調用了其中一個initialize函數，另外一個initialize函數就無法被調用。initializer修飾符代碼如下圖所示，這造成了Based官方失去了初始化函數的機會：

4. 綜上因素，Based智能合約無法被官方正確初始化，因此任何質押行為都無法進行。

質押失敗的交易記錄：

該次事件本質上是由智能合約漏洞導致的，但如果Based團隊提早注意到這個漏洞，提前初始化智能合約，可以完全規避這次危險，避免一號池被凍結。因此，CertiK安全技術團隊提出如下建議：

部署智能合約時應準備好初始化智能合約所需要的命令腳本等工具，及時初始化智能合約，避免攻擊者利用部署操作和初始化操作之間的時間差，搶先初始化或者惡意操縱智能合約。

開發者應精通智能合約的運行原理和技術細節，不要盲目的采用其他的智能合約代碼。

可邀請專業的第三方安全團隊或內部安全專家對其智能合約進行審計，保證智能合約的安全性和可靠性。

Tags：BASBASEDBASESONTrustBase2Based Financecoinbase交易所官網中文版本sonm幣最新消息

中幣