案例 | UniCats “開后門” 釣魚 十數萬UNI“洗白”_ATS

時值國慶大假期間，加密錢包初創公司ZenGo的研究員亞歷克斯·馬努斯金爆料稱，有用戶一夜之間損失了價值14萬美元的Uniswap代幣UNI，而這與名為UniCats的“收益農場”有關。

據了解，一些參與DeFi提供流動性挖礦賺取收益的用戶最近發現了UniCats這個新農場。從界面來看，UniCats類似YamFinance和SushiSwap；收益方面，不僅可挖礦本地MEOW代幣，同時還可挖出包括UNI在內的其它代幣。

界面友好，產能不賴，資產入場。

當用戶準備提供流動性時，UniCats彈出提示框，要求獲取消費限制許可，而該許可的限制是：無限。

廣東高院發布虛擬貨幣典型案例：不法投融資活動不受法律保護:金色財經報道，2月22日，廣東省高級人民法院發布2021年度全省法院涉互聯網十大案例。其中，韋某等與章某等網絡侵害虛擬財產糾紛案入選。

該案中，XIN幣為一種加密虛擬“貨幣”。2019年7月，韋某等組成A團隊、姜某等組成B團隊、章某等組成C團隊，共同投資XIN幣獲取收益，其中韋某等四人投入的XIN幣是向散戶募集所得，委托、募集行為均發生在中國境外。2020年3月章某將C團隊保管的私鑰刪除，導致三團隊投資的XIN幣無法取出。韋某等訴請章某等賠償XIN幣丟失的經濟損失1190萬元。廣州互聯網法院審理認為，XIN幣不具備法定貨幣的合法性，投資者通過境外募集獲取XIN幣并進行投資獲取收益的投資交易行為，危害公眾財產安全，擾亂社會經濟秩序，損害社會公共利益，違背公序良俗，不受法律保護，由此引發的損失應自行承擔，故駁回韋某等全部訴訟請求。（人民資訊）[2022/2/22 10:08:17]

用戶可能怎么也不會想到，在這個無限消費的許可的背后，UniCats開發者早已暗置了一個直通自家資產的“后門”。用戶的資產可由此被悄悄轉移至開發者指定的地址。

人民鏈發布社區防疫平臺等應用案例，微眾銀行區塊鏈提供開源技術支持:11月9日消息，日前，2021云鏈峰會在北京和濟南兩地同步線上舉行。會議圍繞“促進數據安全有序開放，強化數字治理融合應用”的主題，探討當下數字中國建設的重點、難點，探討數據要素的開放與流通。會議宣布人民鏈山東數據節點揭牌并正式落戶濟南，并重磅發布人民鏈建設方案及應用案例。目前，人民鏈已在政務、社會治理、傳媒、金融、消費等領域，面向政府部門、事業單位、金融機構、企業商戶等提供一系列區塊鏈應用。其中，社區防疫管理平臺、預付寶管理平臺、區塊鏈數字卷宗管理系統等應用案例基于區塊鏈底層開源平臺FISCO BCOS研發，微眾銀行區塊鏈提供開源技術支持。（央廣網）[2021/11/9 6:41:36]

就這樣，有大膽且不幸的“農夫”瞬間被竊取了價值14萬美元的UNI，而其他用戶也有不同程度的損失。

金融壹賬通入選中國工程院《發現100個中國區塊鏈創新應用》應用案例:近日，中國工程院《中國區塊鏈發展戰略研究》項目發布“發現100個中國區塊鏈創新應用”。金融壹賬通作為技術提供方和運維方參與建設的天津口岸跨境貿易區塊鏈服務網絡入選應用案例。[2021/10/28 21:05:54]

盜竊“現場”

那么，UniCats開的這個“后門”，又是如何對用戶進行竊金操作的呢？

1、盜竊者首先將UniCats的owner權限轉移給一個合約地址。

2、盜竊者通過獲得owner權限的合約地址調用UniCats的setGovernance方法。

3、setGovernance函數調用對于代幣的transferFrom函數，將用戶資產轉移到盜竊者地址。

動態 | 軟銀參與的CBSG組織計劃在2020年初推出利用區塊鏈的結算系統商用案例:軟銀等大型通信運營商參與的電信運營商區塊鏈研究組（CBSG）計劃在2020年初推出利用區塊鏈的結算系統商用案例。該組織已開發了利用區塊鏈的移動錢包，旨在構筑通信運營商之間的交叉結算系統。軟銀已于今年1月與臺灣遠傳電信共同進行了這項技術的現場試驗。（Cointelegraph日本站）[2019/9/25]

第2、3步為此次盜竊的核心步驟，如下圖所示：

“后門”分析

UniCats合約中的setGovernance函數是實現盜竊的關鍵。通過調用此函數，UniCats合約即可作為調用者，能夠向任意合約發起任意調用。

據上圖所示，調用該方法可輸入兩個參數?,即一個地址類型的“_governance”和一個bytes類型的“_setData”。而函數的governance.call(_setupData)其實是表示向參數“_governance”地址發起一筆交易，其calldata為參數“_setData”。如此一來，只要有權限調用這個方法，便可以借合約的身份發起任意交易。

在進行代碼編寫時，其注釋表示此函數是一個修改治理合約的函數，如下圖所示：

事實上，根據成都鏈安的審計經驗，修改治理合約通常并不需要調用call。而且，UniCats在對用戶資產進行盜竊時，還刻意多次變換owner地址，如下圖所示：

不僅如此，資產在轉出后還立刻被流入混淆器，如下圖所示：

如此操作，老練狠辣、一氣呵成，因此基本可以斷定，該項目就是一個徹頭徹尾的騙局，為的就是釣魚詐騙而上線。

令人細思極恐的是，在本案例中盜竊者調用了transferFrom方法對用戶的資產實施轉賬，這就使得即便存在于錢包的用戶資產，也可能面臨被盜的風險。由于在合約授權時發起的是無額度限制授權，因此，一旦授權許可通過，合約就有權轉移用戶所有的資產。

成都鏈安鄭重提醒，用戶在進行合約授權時，使用多少，授權多少。這樣操作的話，即便不幸遭遇類似欺詐性質的合約，也不會殃及錢包中的本金。如果用戶不太清楚自己的授權情況，可以通過以下工具進行查詢。

1、https://approved.zone

2、https://revoke.cash

3、https://tac.dappstar.io/#/

小結

于DeFi領域，用戶獲得新幣的門檻大大降低，通過組合資產投資的確可能在短期內實現大規模的增值收益。但是，用戶資產可能面臨的風險狀況就變得更為復雜，在這點上必須引起高度注意。

在DeFi這個“黑暗森林”，大膽冒險是禁忌一般的行為。用戶資產不僅要受到客觀行情波動的影響，質押時是否遭受“清算”也無法預知，而合約中的人為陷阱更是無處不在。

尤其是，不少DeFi項目都存在代理轉賬的邏輯，多數項目方也會直接要求用戶授權最大值。也就是說，用戶授權后，某些不良合約將利用留“后門”的手段，反噬用戶所持的全部資產。

因此，對于用戶而言，來自合約的一切許可請求都要格外注意，寧理性退場，不冒然入坑，時刻警惕惡意項目方的此類“后門”陷阱。

Tags：UNI區塊鏈CATSATSUnionDAO區塊鏈專業BABYCATS價格ShibaTsuka

以太坊價格