编者按：本文来自区块律动BlockBeats，作者：0x2，星球日报经授权转载。又是安全漏洞，又和交易所有关。今天，区块链安全团队PeckShield曝光了名为tradeTrap的智能合约漏洞，该漏洞可让黑客随意操控币价、随意增发Token，该漏洞已影响十余种可在交易所交易的Token。截至文章发布，涉及的交易所已成功修复该漏洞。这个名叫tradeTrap的智能合约漏洞波及700多个ERC-20Token，其中也包括AI、SUB、NTO、TGT、FC、TBT等Token在内的数十个已经在交易所交易的Token，涉及币安、火币、OKEx、HitBTC、ZB、EtherDelta、IDEX等26家交易所。该漏洞是今年发现的影响用户数量最大、涉及币种最多、涉及交易所最多的安全漏洞，据悉该漏洞可能有意或无意被开发人员预留在智能合约中，若用意良好不会造成影响，但是如果被黑客滥用，可以轻松地实现非法套利和操控价格的安全事件发生。史上影响范围最大的智能合约漏洞细节曝光
Immutable X发布与其兼容的Cairo智能合约以帮助在StarkNet上的项目开发:金色财经消息，NFT二层扩展解决方案Immutable X宣布将发布一组Cairo智能合约，以帮助在StarkNet上进行NFT相关项目的开发。目前发布的合约包括ERC-20、ERC-721、版税，其中ERC-721合约在Open Zeppelin推出的合约基础上进行了扩展；版税则选择了EIP2981标准。Immutable X表示，未来将构建更多的StarkNet合约并添加至该集合中，包括即将推出的Layer1与Layer2之间的ERC-721代币跨链桥。[2022/5/26 3:42:35]
区块律动BlockBeats从PeckShield团队处了解到，tradeTrap漏洞包括多个已知的安全问题：黑客可以通过mintToken()函数来随意增加Token余额黑客可利用setPrices()buy()sell()三个函数来操纵Token价格，并且进行不公平的套利行为BuyTrap和SellTrap，可让购买者和出售者成功付款后无法收到Token或者卖出后无法获得收入等。在存在tradeTrap漏洞的智能合约中，PeckShield发现一个名为mintToken()的函数，该函数可被黑客用于随意向任一以太坊地址增发Token余额。一般来讲，该函数只能被合约拥有者控制使用，用于合约Token的增发。该函数主要用于Token预售阶段，项目方可利用该函数向私募投资者发行相应的Token，在预售结束后理应停止使用该函数。但是实际上，该函数在预售结束后依旧可以随意使用。如果项目方并未曝光增发计划而滥用该函数，可以向任一以太坊地址增发项目Token。凭空增发的Token数量，将会扰乱该Token的市场交易，给投资者带去损失。以存在该漏洞的Substratum为例，该项目的Token总量在各个平台上存在巨大差距，有恶意增发的嫌疑。EtherScan中查询SUBToken合约地址中有5.92亿Token，非小号、Coinmarketcap等数据平台显示SUBToken发行总量为4.72亿枚。区块律动BlockBeats也发现Substratum的白皮书中Token发行量也有过多次变更，在2017年8月的白皮书中，其发行数量为6亿Token，在12月白皮书中，发行数量为2.26亿。在与PeckShield团队沟通后发现Substratum确实调用过mintToken()函数，做过一次5.8亿枚Token的增发，说明该接口的漏洞确实有效可用。目前该团队已经Medium发表声明表示仅在测试网络使用过该函数，并未在交易后进行过增发。另外一个安全问题存在于价格操纵上。在出现这类问题的智能合约中，有setPrice()、buy()、sell()三个函数，该函数只能由智能合约拥有者进行控制，可以规定Token的购买和销售价格。公众可以直接使用buy()、sell()函数来进行Token的买卖行为。仔细阅读合约代码就会发现，在该合约中Token的价格是由合约的所有人来进行控制的，但是市场中流通Token的购买和销售价格其实应该由市场来决定，该漏洞让黑客有可乘之机，能够操纵价格套利。在受到此漏洞影响的智能合约中，用户是可以通过智能合约的buyPrice和sellPrice与项目方进行交易的，比如EOS的众筹就是这种可以允许用户与合约进行交易，与此同时EOS又可以在交易所进行交易。但是智能合约中的buyPrice和sellPrice数值并不能与市场进行及时更新，在更新过程中产生的合约价格与市场价格的差距，就形成了套利空间。在某些情况下，心怀不轨的交易所可以利用该漏洞来低价买入Token，然后充币到交易所后再按照市场高价卖出，形成交易所自己进行的套利，这实际上是违背商业道德的行为。目前该漏洞影响了INT、SUB、SWFTC等的Token，这些Token正在OKEx、火币、HitBTC、IDEX、EtherDelta等交易所进行交易。交易所已经修复tradeTrap漏洞，用户可安全交易
广东金融创新研究会常务理事：智能合约的安全隐患与三个因素有关:金色财经报道，3月21日，《佟掌柜的朋友们-深圳海外专场》顺利举办，中山大学区块链与智能中心客座研究员，广东省金融创新研究会常务理事谭粤飞发表了“小白用户如何读懂审计报告”的主题演讲。谭粤飞表示，从去年的10月到今年的3月，6个月的时间，每一个月都有一个知名的DeFi项目受到攻击，这足以说明安全领域的隐患有多么的大。为什么在这个领域智能合约的安全会有这样的隐患。这实际上是和三个非常重要的因素有关的。
1.智能合约本身的运行机制。智能合约之所以产生的危害是如此之大， 和合约本身的运行机制有关：无法篡改、部署和执行不可逆、开源。
2.区块链技术的特点。第二个和区块链技术的特点有关，交易的匿名和交易不可逆。尤其近来随着混币应用比如Tornado Cash等的诞生更加给交易的追踪带来了障碍。
3.另外是智能合约应用的社会约束，现有的法律法规缺乏对数字资产的保护；现有的法律法规缺乏对区块链应用的约束和规范。更多详情见原文链接。[2021/3/21 19:04:56]
因为之前360在EOS漏洞曝光后的公关行为给市场造成了巨大的影响，导致大量投资人因为信息沟通不畅而造成资产损失，PeckShield团队决定不在漏洞发现的第一时间将漏洞向公众曝光，而是与交易所进行沟通确认和修复后再报告漏洞详情，保证漏洞通报流程的合规。创始人蒋旭宪告诉区块律动BlockBeats，「我们不希望漏洞第一时间曝光会给市场带来负面影响，毕竟tradeTrap漏洞涉及多个正在交易所交易的Token，随意地曝光可能会给市场带去恐慌，给广大投资者造成不必要的损失。」目前币安、火币、OKEx、OKCoinKR、CoinEgg、Kucoin、Allcoin、HitBTC、Bitbns、ZB、OTCBTC、CoinBene、COSS、Etherdelta、ForkDelta、IDEX、YEX、Tidex、RadarRelay、Yobit、WazirX、CoinExchange、CoinSpot、Bluetrade、CEX、LiveCoin等26家交易所均以确认漏洞，币安等交易所已与SUB项目方确认漏洞无重大影响，用户可以放心交易。但是我们不禁要问下面这个问题：为何总是等到安全团队出马才能修复漏洞？自从4月份开始有安全团队曝光区块链安全漏洞以来，都是安全团队率先通报漏洞，然后涉事的交易所、项目方才跟进的，总是慢一步。区块律动BlockBeats无数次地在安全漏洞发生后向涉事方发出质问，尤其是交易所，我们是否做好了审核工作？所谓的上币审核是否只是一个形式流程？而最近多家交易所更是随意上币，完全不走投票上币的流程。OKEx上币了一个没有任何是实质信息的BEC、火币上了玉红的纯概念社区币XMX、币安上线涉嫌误导消费者的QuarkChain，投资者看到的是媒体扑天盖地的宣传和潜在的投资机会，但区块律动BlockBeats看到的却是利益关联、内幕交易，这种「走关系」的行为不仅毫无安全性可言，更是为区块链安全事件埋下了「伏笔」。以上面提到的set/buy/sellPrice漏洞为例，交易所是完全有机会利用这个合约漏洞来低价买入Token，随后在市场高涨的时候卖出，实现套利，或者利用低成本Token来操纵币价，以此获得利润。但是为了避免这种事情败露，交易所的充币地址会定期更换，导致Token在流向交易所后就失去了踪迹。对于调查员来说，交易所是目前整个区块链生态系统中最大的黑洞，所有的去中心化、透明手段在经过中心化交易所这一手之后，都将变得无法追踪，使区块链本身失去了意义。交易所目前面对安全问题的处理方法是遇到一个，处理一个，对于未来可能出现的安全问题，不采取任何预防措施，也不会在问题发生时及时通知用户来止损，对于已经出现问题的Token，也没有任何有效的补救措施。比如最近发生的EDU合约漏洞，火币网的做法仅仅是应项目方要求修复漏洞后重新上币交易而已，受损的投资者，只能看着自己的资产余额下降。中心化的交易所应该承担安全问题为投资者带来的经济损失，虽然虚拟货币为高风险的投资项目，但承担上币审核和交易安全的是交易所，保证交易安全和资金安全是中心化的交易所义不容辞的责任。虽然区块律动BlockBeats对过度宣传的陈伟星不感冒，但还是希望他的「透明计划」能有效地地推进下去，是时候管管交易所了。
声音 | 杨望：智能合约保障交易按约执行:中国人民大学国际货币所研究员杨望发表文章表示：智能合约被看做是区块链最有价值且易普及于商业场景中的重要发展方向。它封装了若干状态与预设规则、触发执行条件及特定情境的应对方案，以代码形式储存在区块链合约层，其特点是当达到约定条件时，预先设定的操作会自动触发。只依赖于真实业务数据的智能履约形式不但保证了在缺乏第三方监督的环境下合约得以顺利执行，而且杜绝了人工虚假操作的可能。[2019/1/9]
动态 | 昨日新增259个代币型智能合约 Tier 3存在47个安全风险:第三方大数据评级机构RatingToken最新数据显示，2018年8月28日全球共新增1936个合约地址，其中259个为代币型智能合约。在RatingToken同时发布的“新增代币型智能合约风险榜”中，Tier 3、YL链(YL)和LICToken(LIC)风险最高排名前三，其中Tier 3存在47个安全风险，检测得分为2.14。此外，其他登上该风险榜TOP10的还包括GroupAd Dollar(GAD)、EtheremonMonster(EMONA)、XMG Long Official(XMG)、imfomo Long Official(imfomo)、CapitalPlateGame(FOFM)、Health Coin(HCN)和Top Players Mother Token Original(MCTP-original)。如需查看更多智能合约检测结果，请查看原文链接。[2018/8/29]
以太坊基金会开发人员提议推出智能合约保险基金:据ccn消息，以太坊基金会的开发人员，Mist浏览器团队负责人Alex Van de Sande在一篇博客文章中发布了一份关于保险库的建议，他认为这将减轻以太坊网络拆分的风险，这是因为存在恢复由于智能合约中的代码故障而被冻结的资金的希望。开发人员可以通过在头几年锁定一部分“补救合约”的以太坊为智能合约投保，作为交换，他们可以收到等额的“补救性以太通证。”人们可以持有或者交易该通证。如果智能合约出于黑客攻击或者其他原因冻结了以太坊，那么人们便可以90%的比例等额从保险池里兑换他们的通证。此前，智能合约的错误代码造成了资金冻结。而因为代码错误，造成了Parity钱包合约的损毁并不得不采取分叉形式帮助用户弥补损失。[2018/4/29]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。