首发 | Bancor智能合约为何会出现漏洞?该如何避免?

6.18期间正愁”千手观音“还不够剁,如果一觉醒来,突然发现爸妈的账户可以随便用了,前男友的钱因为权限设置错误而对你以及他所有前女友开放了。不是天上掉馅饼,而是老天可能漏了个洞。

我的是我的,你的还是我的。

这种漏洞恰好于6月18日发生在了Bancor部署的智能合约上。

Bancor 在6月16号部署了他们的 BancorNetwork v0.6的智能合约, 紧接着两天后合约被发现存在严重的安全漏洞。攻击者可利用此漏洞转走合约里的钱。

智能合约可能产生的漏洞有很多种,而本次Bancor智能合约所产生的漏洞与函数有关。

先科普一下,在智能合约里,函数有4种访问权限:

Public - 可被所有人调用

External - 只可被外部所调用

Internal - 只可被合约本身以及继承合约调用

Private - 只可被合约本身调用

这里强调一下,当函数权限被设置为public时,任何人都可以调用这个函数,从而把合约里的钱转走。也就是说,当你的前男友不小心把他的钱包权限设置成了公开,那么包括他的现任、前任、前前任在内的世界上的任何人,都可以轻而易举地把他的钱转移走。此刻他一定非常心塞。

下面我们来看一下此次Bancor漏洞的代码:

在漏洞合约的第45行我们看到safeTransferFrom函数,这个函数的功能是从一个地址往另一个地址转账,注意到此函数的权限被设置为public。

XMR突破120美元关口 日内涨幅为5.43%:火币全球站数据显示,XMR短线上涨,突破120美元关口,现报120.01美元,日内涨幅达到5.43%,行情波动较大,请做好风险控制。[2020/11/27 22:16:59]

有趣的是,CertiK团队通过进一步的调查发现,在有漏洞的合约部署的两天后,Bancor团队用了以下两个钱包地址去通过漏洞提取合约中的资金,来清空合约里的资金,防止被黑客盗取,也算是弥补漏洞的精明之举: 

0xc8021b971e69e60c5deede19528b33dcd52cdbd8,

0x14fa61fd261ab950b9ce07685180a9555ab5d665

几乎同时,两个第三方人员也开始利用这个漏洞提取资金,其中一位利用漏洞进行了16次取款交易,总共取出了131,889.34美元。这个第三方人员的ETH地址和邮箱分别是:

0x052ede4c2a04670be329db369c4563283391a3ea

arden43y@gmail.com

此人称这个地址的背后是一个自动运行的交易系统,可能会无意利用人为的失误和合约的漏洞获取资金。如果能够证明这个地址通过漏洞得到了钱,他可以把钱归还。

而另一位的地址是以下两个: 

0x854B21385544c44121f912AEdF4419335004F8ec,

0x1ad1099487b11879e6116ca1ceee486d1efa7b00

他总共进行了四笔取款交易,共提取了3340美元。(折合人民币2万3千元左右,可以足足吃上2000多顿小龙虾。)

Bancor对此事件进行了官方回应(详情请见文末“其他参考链接”第一条): 

其中有一段提到他们利用这个漏洞把合约里的$455,349的余额转移到另一个钱包里了。

另一段称已与两位第三方人员取得联系,请求他们退回利用合约漏洞而转走的资金。

Bancor随后更新了有漏洞的合约。

可以明显看出public被改为了internal。

造成此严重漏洞的原因是开发人员在设置函数权限的时候犯了错误。在智能合约里,仅仅一个参数使用错误,就可导致合约里所有人的钱都处于危险之中。

值得庆幸的是,此次漏洞并没有被黑客利用,不然用户的钱将永远无法追溯。

智能合约类似于函数调用错误的漏洞还包括但不限于DOS、逻辑错误、越权访问、重入及整数溢出等一千种可能。这一千种可能里面任意的一种可能,都会给公司及用户带来巨大的财产损失,而且合约具有一旦部署就不可更改的属性。

因此,保证智能合约没有漏洞,是非常重要的。合约在部署前,交给专业的安全公司进行安全审计是不可或缺的环节。

CertiK会使用形式化通过数学层面的验证去证明智能合约的正确性。以上则是CertiK安全审计的部分内容。

程序测试可以证明漏洞的存在,但永远不能说明漏洞不存在。

而CertiK的存在,就是为了让漏洞不存在。

我们绝不仅仅是寻找漏洞,而是要消除哪怕只有0.00000001%被攻击的可能性。

文中所提及智能合约及地址链接如下:

存在漏洞的智能合约: 

https://github.com/bancorprotocol/contracts-solidity/blob/4394c0e1d1785a71044101b1d6df57e332b73ba9/solidity/contracts/utility/TokenHandler.sol

漏洞合约部署的地址:

0x8dFEB86C7C962577deD19AB2050AC78654feA9F7

0x5f58058C0eC971492166763c8C22632B583F667f

0x923cAb01E6a4639664aa64B76396Eec0ea7d3a5f

修改后的智能合约:

https://github.com/bancorprotocol/contracts-solidity/blob/master/solidity/contracts/utility/TokenHandler.sol

其他参考链接:

https://blog.bancor.network/bancors-response-to-today-s-smart-contract-vulnerability-dc888c589fe4

https://github.com/bancorprotocol/contracts-solidity/blob/4394c0e1d1785a71044101b1d6df57e332b73ba9/solidity/contracts/utility/TokenHandler.sol#L45

https://explore.duneanalytics.com/public/dashboards/mEUEd9rQCPjeMkryEIgbtC0YUZwOXESQPTkkqdPX

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

AAVE金色观察丨Compound登上DeFi王座的背后故事

金色财经 区块链6月25日讯  六月中旬,基于算法的去中心化金融协议Compound批准了一项提案,允许将其原生代币COMP代币分发给平台上的借款人和贷款人。此消息一出,立刻引起了用户关注,人们开始把资产汇聚到Compound协议上,短时间内其锁仓总价值就增长了近五倍,也成功超越MakerDAO,登上了去中心化金融领域的“王座”。

区块链105亿美元?一文解读Q2 稳定币市场数据

我在2019年12月第一次深入研究稳定币。如果你当时告诉我,该领域的代币市场供应量将突破100亿美元,用户数可能接近10万,我可能会认为你是个乐观主义者。然而,我们在2020年6月即疫情的后期,截至写这篇文章时,七大项目的稳定币市值合计约105亿美元。 在撰写本文时,我有以下几点考虑 1. 你会经常看到我为Tether和其他币种提供两个独立的图表。

ICP三分钟了解波卡Substrate 框架中的交易重量

链的可用资源是有限的。资源包括内存使用、存储 I/O、计算、交易/块大小和状态数据库大小。有几种机制可以管理对资源的访问,并防止链中的各个组件消耗过多的资源。重量(Weights)是用于管理验证区块所需时间的机制。一般来说,这来自于限制存储 I/O 和计算。 注意:重量不是用于限制对其他资源的访问,例如存储本身或内存占用。有其他机制用于这个。

币安交易所app下载去中心化金融(DeFi)市场投资逻辑?

我们在昨天的文章中和大家分享了近来特别热门的DeFi项目Compound。Compound的代币COMP自上线以来,从最低点的65美元到最高点340美元,其涨幅超过5倍。 前一阵子的大热项目----去中心化交易所路印也在前段时间创出了将近3倍的涨幅。

[0:0ms0-0:500ms