Creat future慘遭隨意轉移幣，幕后黑手究竟是誰？_coinbase

前言

CF代幣合約被發現存在漏洞，它允許任何人轉移他人的CF余額。到目前為止，損失約為190萬美元，而pancakeswap上CF/USDT交易對已經受到影響。知道創宇區塊鏈安全實驗室第一時間對本次事件深入跟蹤并進行分析。

事件詳情

Coinbase NFT：暫停“creator Drops”，不會關閉NFT市場:金色財經報道，加密貨幣交易所 Coinbase 的 NFT 平臺 Coinbase NFT 周三表示，它正在暫停“creator Drops”，以將其精力集中在其市場的其他方面。Coinbase NFT 表示，“我們正在暫停 NFT 市場上的創作者 Drops，以專注于創作者要求的其他功能和工具，但需要明確的是：我們不會關閉 Coinbase NFT 市場。”

周三下午，Coinbase NFT 合作伙伴Jessica Yatrofsky表示，她即將推出的 NFT 系列將不再出現在 Coinbase NFT 上，并表示她已“私下獲悉NFT市場正在關閉。”Coinbase NFT 迅速回應了謠言，表示他們確實正在暫停“creator Drops”以專注于改進，但他們并沒有關閉 NFT 市場。[2023/2/2 11:42:16]

受影響的合約地址

Cream Finance將在Polygon上推出其貨幣市場:金色財經報道，據官方消息，抵押借貸平臺Cream Finance宣布將在以太坊擴容方案Polygon上推出其貨幣市場。屆時，用戶將能夠在以下市場上提供和借用代幣：USDC、USDT、DAI、WMATIC、WETH、WBTC、LINK、SUSHI、CRV、QUICK。Polygon市場將受到流動性挖掘的激勵。[2021/6/30 0:15:38]

https://bscscan

Tor ：Secret Network是整個區塊鏈生態系統的隱私中心:3月2日，21:00 Secret 創始人Tor 作客MXC抹茶社區并發表觀點。

Tor 表示：“Secret Network是唯一一個具有隱私保護智能合約的主網區塊鏈，這使我們比其他區塊鏈更具有優勢，因為它們默認情況下使用公開數據。 Secret Network還可以與其他鏈進行互操作，支持原生資產和NFT，并允許對加密數據進行私有計算。它是整個區塊鏈生態系統的隱私中心。這使我們的愿景比Monero和Zcash這樣的“私有資產”大得多，同時使Secret Network保持了更高的合規性。數據隱私是去中心化互聯網成功的必要功能。”[2021/3/3 18:09:23]

uint256fee=0;..

_transfer()函數是直接轉移代幣transfer()和授權轉移代幣transferFrom()的具體實現，但該函數的修飾器是public，因此任何人都可以不通過transfer()或transferFrom()函數直接調用它。而當變量useWhiteListSwith設置為False時，該函數不會檢查調用地址和傳輸地址是否合規，直接將代幣轉移到指定地址。

在區塊高度為16841993時，管理員就把useWhiteListSwith設置為False：

此時開始有攻擊者利用_transfer()函數直接轉移代幣：

總結

經過完整分析，知道創宇區塊鏈安全實驗室明確了該次事件的源頭由函數本身權限出現問題，而管理員同時操作不慎關閉了白名單檢測，兩方結合導致攻擊者可以實現轉移任意錢包代幣的操作。

在核心函數上我們一直建議使用最小權限原則，像這次的_transfer()函數本不該用public修飾器，使得transferFrom()函數檢查授權額度的功能形同虛設；而合約管理者也不該隨意修改關鍵變量值，導致攻擊者可以繞過白名單檢查的最后一道防線。

合約不僅僅是代碼層面的安全，不光需要白盒代碼審計，更需要合約管理員共同合理維護。

Tags：NFTCRETRANScoinbasePNFTLYO CreditEvident Proof Transaction Tokencoinbase和binance

波場