3619份以太坊代幣合約存在“假充值”漏洞風險？智能合約漏洞了解一下_SDT

繼USDT發生“假充值”漏洞后，近日，慢霧區再曝以太坊代幣“假充值”漏洞。據慢霧區今日消息，以太坊代幣“假充值”漏洞目前影響廣泛，相關中心化交易所、中心化錢包、代幣合約等均受影響。單代幣合約，不完全統計就有3619份存在“假充值”漏洞風險，其中不乏知名代幣。并強調當前漏洞已發生真實攻擊，督促相關項目方應盡快自查。7月9日，慢霧區曾發布以太坊代幣“假充值”漏洞攻擊預警。據其披露的細節，在用戶進行轉賬時，一些代幣合約的transfer函數對轉賬發起人(msg.sender)的余額檢查用的是if判斷方式，而這種溫和的判斷方式在transfer這類敏感函數場景中并非一種嚴謹的編碼方式，這種不嚴謹的編碼方式是一種安全缺陷，這種安全缺陷可能會導致特殊場景下的安全問題。攻擊者可以利用存在該缺陷的代幣合約向中心化交易所、錢包等服務平臺發起充值操作，若交易所僅判斷如TxReceiptStatus是success，則就有可能以為充幣成功，產生“假充值”“假交易”。對于修復方案，慢霧區認為，已有漏洞的代幣最好的方式是重發，然后新舊代幣做好“映射”。此外，交易所、平臺方、代幣合約方均應承擔起安全責任。對于交易所來說，應在判斷交易事務success之外，還應二次判斷充值錢包地址的balance是否準確的增加；對于平臺方來說，在對接新上線的代幣合約之前，應該做好嚴格的安全審計；對于代幣合約方來說，應該嚴格執行最佳安全實踐，并請第三方職業安全審計機構完成嚴謹完備的安全審計。漏洞細節發出后，截至發稿前，已有IOST官方表示其合作交易所均無“假充值”風險。回顧6月份發生的USDT“假充值”漏洞，其漏洞邏輯也并無二致，攻擊者同樣是利?交易所對USDT交易轉賬的判斷邏輯缺陷，惡意構造虛假轉賬盜取交易所代幣。智能合約本質是一段運行在區塊鏈網絡中的代碼，它完成用戶所賦予的業務邏輯。隨著當前智能合約漏洞出現的頻率愈加頻繁，其安全問題也逐漸引起公眾重視。據RatingToken統計數據，當前區塊鏈世界中每日新增智能合約從4W-18W不等，而在白帽匯安全研究院的《區塊鏈產業安全分析報告》中，由于智能合約所導致的安全問題已經造成了12.4億美元的損失，占到了總損失的43.3%。2016年6月，以1.5億美元成為當時最大金額ICO的TheDAO，因其智能合約出現“遞歸調用漏洞”遭黑客攻擊，導致價值6000萬美元以太幣被盜。該漏洞具體來說，即在調用方使用splitDAO函數調用DAO資產時，該漏洞將允許該函數非法的再次調用自己,然后不斷重復這個過程。這樣的遞歸調用可以使得攻擊者的DAO資產在被清零之前,數十次的從TheDAO的資產池里重復分離出來理應被清零的攻擊者的DAO資產，這是以太坊歷史上的一次大型安全丑聞，也直接導致了硬分叉。而在2018年，新的漏洞也在出現，以SMT、BEC、EDU、BAI為代表的代幣智能合約漏洞都在轉賬邏輯中產生了“整數溢出漏洞”，該漏洞可導致代幣可以無限增發或任意轉賬。以美鏈BEC為例，黑客利用以太坊ERC-20智能合約中BatchOverFlow漏洞中的數據溢出的漏洞，攻擊了美鏈BEC的智能合約，通過轉賬的手段生成合約中不存在的、巨量的Token并將其轉入正常賬戶，并且賬戶中收到的Token可以正常地轉入交易所進行交易，與真的Token并無差別。另外，新加坡國立大學的LoiLuu等人也曾發現“交易順序依賴漏洞”，他們指出，在智能合約執行的過程中，由于發起方對函數調用的順序不同，可能會產生不同的輸出結果，形成業務邏輯漏洞。針對當前智能合約產生的漏洞，區塊風豹實驗室技術負責人張文君向星球日報表示，如以危險級別為標準，當前合約漏洞可分為高危、中危、低危漏洞。具體來說，在高危漏洞上，合約代碼中可能存在整數的上下溢出，攻擊者可用于盜取資金、惡意轉賬等；在中危漏洞上，交易金額無法篡改，但在調用外部合約上存在漏洞，攻擊者可用于雙花攻擊、惡意轉賬；低危漏洞中，則體現在合約撰寫不規范，部署的時候導致更多費用的問題，給調用方造成經濟損失，存在優化的空間。

CoinShares：上周數字資產投資產品凈流入1.361億美元:7月10日消息，CoinShares最新周報顯示，上周數字資產投資產品凈流入1.361億美元，連續三周的凈流入總額達到4.7億美元。其中，上周比特幣投資產品凈流入1.328億美元。以太坊投資產品凈流入290萬美元。做空比特幣的投資產品凈流出180萬美元。

區塊鏈股票迎來一年來最大的資金流入，總計1500萬美元。[2023/7/10 10:46:16]

比特幣閃電網絡節點數量為16,361個:金色財經報道，1ML數據顯示，當前比特幣閃電網絡節點為16,361個，過去30天減少0.5%；通道數量為70,125個，較一個月前減少了2%；網絡容量為5,345.35BTC，月減少2%。[2023/6/19 21:45:56]

Filecoin網絡目前總質押量約為4361萬枚FIL:據IPFS100.com報道，Filfox瀏覽器數據顯示，Filecoin網絡當前區塊高度為536764，全網有效算力為2.891EiB，總質押量約為4361萬枚FIL，活躍礦工數為1481個，每區塊獎勵為22.9967FIL，近24小時產出量為317613FIL，24小時平均挖礦收益為0.1058FIL/TiB，目前FIL流通量為93353522FIL。

目前有效算力排名前三的分別為：F01248（智合云zh）以75.75暫居第一，F02770（時空云&靈動）以72.63PiB位居第二，F09652（RRM-雅典娜-asia02）以52.48PiB位居第三。[2021/3/2 18:07:05]

Asproex（阿波羅）月亮金服第七期申購金額達21,615,361 USDT:官方消息，根據Asproex（阿波羅）月亮金服財富報告第七期數據顯示，1月18日—1月24日期間月亮金服共上線活期理財產品3款，定期理財產品15款，單產品最高結算收益率為18%。申購人數達2953人，用戶總收益為36,672 USDT，總申購金額為21,615,361 USDT。

其中MOON申購金額：4,755,379 USDT，占比：22%；BTC申購金額：7,565,376 USDT，占比：35%；ETH申購金額4,106,918 USDT，占比：19%；USDT申購金額：5,187,686 USDT，占比：24%。

Asproex（阿波羅）作為一家離岸銀行控股持牌交易平臺，涵蓋CTO(Corporate Token Offering)企業通證上市、合約跟單、ETT指數通證、數字礦業、數字銀行板塊并持有5國合法牌照，致力于為全球中小微企業提供數字化上市一站式服務。[2021/1/25 13:26:38]

Tags：SDTUSDUSDTFILbitvenus交易所USDT腫么提現USDS幣usdt幣圈子fil幣最新消息FVM

Fil