Bancor智能合约漏洞及防范措施

OKX欧易app

OKX欧易app

欧易交易所app是全球排名第一的虚拟货币交易所,注册领取6万元盲盒礼包!

APP下载   官网注册

6.18期间发生了令人头疼的事情。当你醒来时,你突然发现父母的账户可以随便使用,前男友的钱因为权限设置错误而被他以及他的前女友们共享。这不是意外之财,而是可能是老天犯了个错误。

这个漏洞恰好发生在6月18日Bancor部署的智能合约上。

Bancor在6月16日部署了他们的BancorNetworkv0.6智能合约,然后两天后发现合约存在严重的安全漏洞。攻击者可以利用这个漏洞转走合约里的钱。

智能合约可能会有很多漏洞,而这次Bancor智能合约的漏洞与函数权限有关。

在智能合约中,函数有4种访问权限,分别是Public(可被所有人调用)、External(只可被外部调用)、Internal(只可被合约本身及继承合约调用)和Private(只可被合约本身调用)。

需要强调的是,当函数权限设置为public时,任何人都可以调用这个函数,将合约中的钱转走。也就是说,如果你的前男友不小心将他的钱包权限设置为公开,那么包括他的现任、前任和前前任在内的任何人,都可以轻易地把他的钱转走。这对他来说肯定很郁闷。

接下来我们来看一下Bancor漏洞的代码。

在漏洞合约的第45行,我们看到了safeTransferFrom函数,它的功能是将钱从一个地址转到另一个地址,注意到该函数的权限被设置为public。

有趣的是,CertiK团队通过进一步调查发现,在有漏洞的合约部署两天后,Bancor团队用两个钱包地址来提取合约中的资金,以防止被黑客盗取。同时,两个第三方人员也开始利用这个漏洞提取资金。其中一位利用漏洞进行了16次取款交易,总共取出了131,889.34美元。这个第三方人员的ETH地址和邮箱分别是0x052ede4c2a04670be329db369c4563283391a3ea和arden43y@gmail.com。他声称这个地址背后是一个自动运行的交易系统,可能会无意利用人为失误和合约的漏洞获取资金。如果能够证明这个地址通过漏洞获取了钱,他可以将资金归还。而另一位的地址是0x854B21385544c44121f912AEdF4419335004F8ec和0x1ad1099487b11879e6116ca1ceee486d1efa7b00,他总共进行了四笔取款交易,共提取了3340美元。

Bancor对此事件进行了官方回应,其中提到他们使用漏洞将合约中的455,349美元转移到另一个钱包。他们还联系了两位第三方人员,请求他们退还利用合约漏洞转走的资金。随后,Bancor更新了有漏洞的合约,将public修改为internal。

这次严重漏洞发生的原因是开发人员在设置函数权限时犯了错误。在智能合约中,只要一个参数使用错误,就会导致合约中所有人的资金处于危险中。

幸运的是,这次漏洞没有被黑客利用,否则用户的资金将永远无法追回。

智能合约可能存在许多漏洞,包括但不限于DOS、逻辑错误、越权访问、重入和整数溢出等。这些漏洞中的任何一个都会给公司和用户带来巨大的财产损失,而且合约一旦部署就无法更改。

因此,确保智能合约没有漏洞非常重要。在部署合约之前,将其交给专业的安全公司进行安全审计是必不可少的环节。

CertiK通过数学验证在形式层面上证明智能合约的正确性,他们的目标是消除即使是0.00000001%被攻击的可能性。他们不仅仅寻找漏洞,而是要让漏洞不存在。

以上是CertiK安全审计的部分内容。

需要注意的是,程序测试只能证明漏洞的存在,而不能证明漏洞不存在。

文中提到的智能合约和地址链接可以在以下链接找到:

存在漏洞的智能合约:https://github.com/bancorprotocol/contracts-solidity/blob/4394c0e1d1785a71044101b1d6df57e332b73ba9/solidity/contracts/utility/TokenHandler.sol

漏洞合约部署的地址:0x8dFEB86C7C962577deD19AB2050AC78654feA9F70x5f58058C0eC971492166763c8C22632B583F667f0x923cAb01E6a4639664aa64B76396Eec0ea7d3a5f

修改后的智能合约:https://github.com/bancorprotocol/contracts-solidity/blob/master/solidity/contracts/utility/TokenHandler.sol

其他参考链接:https://blog.bancor.network/bancors-response-to-today-s-smart-contract-vulnerability-dc888c589fe4https://github.com/bancorprotocol/contracts-solidity/blob/4394c0e1d1785a71044101b1d6df57e332b73ba9/solidity/contracts/utility/TokenHandler.sol#L45https://explore.duneanalytics.com/public/dashboards/mEUEd9rQCPjeMkryEIgbtC0YUZwOXESQPTkkqdPXhttps://explore.duneanalytics.com/public/dashboards/mEUEd9rQCPjeMkryEIgbtC0YUZwOXESQPTkkqdPX

本站所有软件信息均由用户上传发布,版权归原著所有。如有侵权/违规内容,敬请来信告知邮箱:764327034@qq.com,我们将及时撤销! 转载请注明出处:https://czxurui.com/zx/43684.html

打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2023年08月05日
下一篇 2023年08月05日

相关推荐

  • 炒币做合约怎么刷钱,炒币一般用杠杆还是合约

    一、炒币一般用杠杆还是合约炒币一般使用合约进行交易。杠杆通常用于高风险的投资领域,而炒币是一种低风险的投资方式,因此不适合使用杠杆。相反,合约交易允许投资者以较低的风险获得更高的回报率。在合约交易中,投资者通过购买或出售虚拟货币的未来价格来获利。这种策略需

    2024-11-22 13:30:01
    1 0
  • 比特币合约如何平仓,比特币合约已亏百分之160了不知道平不平仓

    一、什么是比特币期货合约比特币期货合约,通常是以比特币价格指数为标的的标准化合约。比特币交易所提供的比特币期货通常是以比特币进行交易的。期货是与现货相对的,现货是实实在在可以一手交钱一手交货的商品,而期货其实不是“货”,是承诺未来一个时间交“货”(标的)的

    2024-11-21 15:00:02
    3 0
  • 比特币智能合约怎么查,怎么查询所有区块链公链

    一、怎么查询所有区块链公链公链在哪里查询公链在浏览器查询。随着区块链的大热,越来越多的科技公司开始研究和开发区块链。在区块链迅速发展的同时,也有少部分项目方打着区块链的名号,在市面上进行招摇撞骗。如何判断公链真假,对于现在许多想要进行数字货币交易的群体来说

    2024-11-21 11:30:01
    5 0
  • 比原链钱包地址怎么写,如何查区块链合约地址信息

    一、区块链地址怎么查(区块链地址怎么查询平台)如何通过区块链资产地址(数字钱包地址)查看该地址的区块链资产(数字货币)?用区块链浏览器就可以查看。在搜索输入框内输入想查询的钱包地址,如果你输入的地址不完整,但是这个地址之前有在区块链上进行过ETH交易或者被查询

    2024-11-20 14:00:01
    3 0
  • 区块链 如何删除合约,什么叫区块链合约

    一、什么叫区块链合约区块链合约层是什么如果说数据、网络和共识三层,分别承担了区块链底层数据表示、数据传播和数据验证功能的话,合约层则是封装各类脚本代码、算法以及更为复杂的智能合约,是区块链系统实现灵活编程和操作数据的基础。作为一种自我执行的协议,智能合约被

    2024-11-20 01:30:01
    9 0
  • 虚拟货币地址怎么查询,如何查区块链合约地址信息

    一、如何知道是哪个区块链平台,怎么查询区块链是不是公链怎么查别人区块链信息1.如果是查询账户余额、账户的历史交易数据等信息,建议直接输入钱包地址查询;如果是查询某笔转账的相关信息,比如是否到账、进展如何,输入交易ID是最方便的。当然了,区块链浏览器不仅可以查询自己的

    2024-11-17 13:30:02
    9 0

发表回复

8206
验证码

评论列表(0条)

    暂无评论

ok交易所
已有100万用户加入ok交易所

立即下载