近日，区块链安全公司PeckShield向链闻透露：多个已经在主流交易所上线的ERC20币种的智能合约代码存在严重的安全隐患，「攻击者」可通过公开的接口，以「零成本」技术手段实施割韭菜套利行为。
PeckShield调查发现，目前已知有700多个ERC20币种存在此类问题。我们已经证实了至少有数十个币种已经在包括币安、火币以及OKex在内的主流交易所公开上线交易，且交易量巨大。其中最大币种市值已达1.5亿美金，全部币种共影响波及数十万投资者。
众所周知，交易所控着着数字货币资产的流进和流出，作为一个数字资产中转枢纽，交易所自诞生以来漏洞和安全事件就层出不穷，数年来，围绕交易所出现的黑客攻击事件，已造成超百亿美元的损失。然而，这仅仅是明面上技术漏洞诱发的黑客攻击事件，幕后还有借助智能合约代码漏洞实施操纵币价展开不公平套利行为。
美国银行：美国多个州政府机构在考虑区块链应用过程中加州处于领先地位:金色财经报道，美国银行(BAC)在周四的一份研究报告中表示，美国联邦和州政府机构考虑区块链的应用，加州处于领先地位。加州机动车管理局(DMV)代币化项目是公司以及美国州和联邦机构如何使用基于区块链的解决方案来提高效率和降低成本的一个例子，该部门计划通过对该州注册的超过1400万辆汽车进行代币化，彻底改革其车辆产权和转让管理系统。它将以NFT的形式发行车辆所有权，所有权记录在Tezos区块链的私有版本中。该银行指出，其他联邦和州机构也在研究基于区块链的解决方案。其中包括联邦紧急事务管理局(FEMA)、国土安全部和加州食品和农业部。[2023/3/24 13:25:05]
PeckShield研究大量智能合约代码发现，攻击者可使用如下两种技术手段来操纵币价：
多个P2P比特币交易平台BTC交易量本周均创历史新高:8月12日，根据加密研究员Kevin Rooke公布的数据，多个P2P比特币交易平台均在本周创下了比特币交易量历史新高。其中：肯尼亚（410万美元），加纳（220万美元），菲律宾（150万美元），阿根廷（100万美元），智利（50万美元），玻利维亚（4.3万美元）。对此，Kevin Rooke表示，整个世界都想要比特币。[2020/8/12]
安全问题一：项目owner可无限增发Token
存在问题的ERC20币种智能合约有一个仅owner可调用的方法：mintToken，这个可被owner用于增发token。通常一个项目在上交易所之前即预售期，增发行为尚算合理，项目方定向空投一些Token给特定地址，目的是为了激励社区用户参与活跃度。但在交易所上线可正常交易后，此种借助智能合约的增发行为会让项目owner空手套利，会严重影响市场平衡。
雪碧平台合约专区多个币对持续上涨:据雪碧行情显示，雪碧交易平台合约专区多个币对持续上涨，截至今日19：30（UTC+8），BTCUSDT日内涨幅0.81%，ETHUSDT日内涨幅2.01%，EOSUSDT日内涨幅1.18%。BCHUSDT日内涨幅1.73%，BSVUSDT日内涨幅0.52%，XRPUSDT日内涨幅6.70%，ETCUSDT日内涨幅2.33%，LTCUSDT日内涨幅2.37%。
据悉，雪碧交易平台成立于2019年，已获得BiKi产业基金战略投资，注册用户约10万，是一家“社区联邦制”的数字资产交易平台。雪碧合约现已开放BTC、ETH、EOS、BCH、BSV、XRP、ETC、LTC永续合约交易。[2020/4/28]
图一：受影响智能合约存在的mintToken问题
糟糕的是，我们已经发现有10余种存在此类问题的可交易Token，他们存在于23个包括Binance和OKex这样的顶级交易所，且目前交易量巨大，一旦被利用可以影响数以万计的投资者。
分析 | 多个DAPP在春节期间关门 整体数据下滑严重:据区块律动分析，春节期间DAPP有几个特点：1.好几个项目选在这段时间跑路；2.三大平台DAPP数据下降严重；3.没有新的EOS DAPP上线。首先长期上榜的EOS POKER官方正式宣布跑路，理由为“20%的利润无法承担团队基本开销”；另外有网友爆料TRON BLOCK团队也一直离线，代币跌去99%后，拿私募跑路了；最后FunCity因为面临技术和资金压力项目陷入停滞，目前已经解散了相关社群，属于关门状态。数据上，2月1日到10日期间，整个DApp平均每日交易额较去年12月降低了60-70%。[2019/2/19]
以下为披露此信息时，我们已经发现的10个存在此问题的Token。
安全问题二：可操纵的价格和不公平的套利行为
存在问题的ERC20币种的智能合约有三个可调用方法：
1)setPrices:仅owner可访问，用来调整通过方法buy以及sell进行的token的买卖价格(即buyPrice/sellPrice)；
2)buy:公开且任意可访问方法，根据buyPrice购买token；
3)sell:公开且任意可访问方法，根据sellPrice购买token。
为描述方便起见，我们将buyPrice/sellPrice称之为owner可操纵价格，并将token在交易所的价格称为市场价格。
图二：可操纵和利用的智能合约接口
按理说，一个币种上交易所后，交易走量都需要通过交易平台，成交时的买卖价格也是和市场保持同步的。然而，我们在图二代码中发现，项目owner可以通过智能合约任意修改买入价和卖出价，完全不需要依照市场价格。这样以来「套利」空间就有了，套利者可以在Token市场价格略高通过接口定一个较低的买入价，然后再以市场价格卖出，套利者还可以用市场价格买入Token，再设定一个比市场价格高的价格卖出。不管怎样，这是一种干涉市场对流通Token「定价权」的行为，严重点讲已经控制了市场，对市场上其他投资者而言存在极大的不公平。
以下为披露信息时，我们已经发现的9个存在此问题的Token。
截至目前为止，已发现9个可交易的token，在26个交易所上线交易。其中如SUB、INT和SWFTC等token都在主流的交易所上线并拥有巨大的交易量和影响力。
其它安全问题
我们进一步研究发现，如图三和图四，sell或buy方法中存在整数溢出漏洞，项目owner在布局第二种套利行为的时候，可以设计一个套利陷阱，owner能够利用该漏洞损害普通用户应得的收益。
图三：受影响的买方智能合约类别
图四：受影响的卖方智能合约类别
通常来讲，传统股票证券市场存在这样的「割韭菜」套路，幕后大庄通过周期性低拉高抛来制造市场震荡来收割韭菜，利用的是不少散户投资者盲目追涨杀跌的心理。大多数情况下，数字货币市场的大部分割韭菜行为也是基于此市场化操盘来实现。我们最新发现的此种借助智能合约漏洞割韭菜的方式，不经过市场，以技术手段进行零成本收割，对数字货币市场的稳定性威胁极大。
6月9日，PeckShield发现了上述安全隐患，在评估了安全威胁之后第一时间通知了相关交易所，希望携手交易所来共同预防危机的发生。不少交易所(如币安)和项目方(如Substratum，即SUB)在得到通报后已积极做出了响应。详情请参见：https://peckshield.com/2018/06/11/tradeTrap。通过此次更详细的漏洞披露，我们可以看到安全漏洞背后的技术细节，也认识到此类安全问题存在的危害性，希望个多的交易所和项目方能够和我们通力合作，一同提高智能合约生态系统的安全性。
本文来源于非小号媒体平台：
链闻ChainNews
现已在非小号资讯平台发布1篇作品，
非小号开放平台欢迎币圈作者入驻
入驻指南：
/apply_guide/
本文网址：
/news/3626877.html
免责声明：
1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险
2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场
下一篇：
EOS主网上线为何难产？具体进展如何？
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。