關于DeFi流動性挖礦項目chick.finance惡意合約代碼的詳細分析_OWN

就在剛剛，YFII通報了chick.finance合約代碼的風險，不過其中提到的“用戶充值的所有代幣，開發者都有權限提取”這句話其實并不是完全準確的，因此在這里我們需要給大家做下更詳細的描述：

該合約惡意代碼的問題并不在于“開發者事發后能提取用戶存在合約中的代幣”，而在于對于任何給該合約授權了的用戶，開發者都能把你錢包里的代幣一掃而空，這正是比特派安全實驗室在之前的那篇《以太坊Defi生態當前最大的安全隱患》一文中提到的“濫用合約授權問題”。

孫宇晨發表關于未來波場網絡民主治理和發展的公開信:據最新消息，波場TRON創始人兼BitTorrent?CEO孫宇晨剛剛發表了關于未來波場網絡民主治理和發展的公開信，孫宇晨表示：“波場網絡每日平均處理交易請求超過170萬筆，是行業最為重要的底層基礎設施與二層網絡，我個人最為關心的是，將波場打造成一個具有良好治理激勵機制的，快速高效，費用極具競爭力的去中心化網絡，這也是波場的核心愿景。我認為網絡日后的發展方向，應當將TRX網絡的整體手續費分享給超級代表，然后由超級代表來分配給背后的質押投票人。如果說比特幣是數字黃金，那么波場就是數字石油，波場將成為數字貨幣領域從事經濟活動的必需消耗品！”[2020/11/30 22:36:55]

惡意代碼是如下這段：

灰度旗下關于BCH和LTC的單一基金獲得FINRA公開報價批準:加密資產管理公司灰度投資GrayscaleInvestments宣布旗下基金產品GrayscaleBitcoinCashTrust和GrayscaleLitecoinTrust現已獲得美國金融業監管局（FINRA）的公開報價批準，場外交易代碼分別為BCHG和LTCN，分別成為首個與BCH或LTC掛鉤的公開上市證券。不過，在獲得美國信托公司DTC資格之前，這兩種證券將不會開放交易。灰度投資稱，預計BCHG和LTCN將很快獲得DTC資格。注：BCHG和LTCN分別是該公司第五、第六種獲得公開報價批準的投資產品。[2020/7/21]

functionstartReward(address_from,uint256amount)externalpub1ic{

動態 | 易綱出席G20財長和央行行長會議 會議一致同意發布G20關于穩定幣的聲明:據中國人民銀行官方消息，2019年10月17-18日，中國人民銀行行長易綱、副行長陳雨露出席了在美國華盛頓舉行的二十國集團（G20）財政和央行部長級和副手級會議。會議一致同意發布G20關于穩定幣的聲明，肯定金融創新的潛在效益，同時指出穩定幣具有一系列政策和監管風險，尤其是在反洗錢、反恐融資、消費者保護、市場誠信等領域，有必要在穩定幣項目啟動前評估和解決這些風險。會議要求金融穩定理事會、基金組織、金融行動特別工作組等國際機構繼續研究穩定幣的相關風險和影響。[2019/10/19]

????weth.safeTransferFrom(_from,owner(),amount);

??}

開發者對故意拼寫錯誤的pub1ic做了如下約束

modifierpub1ic(){

????require(isOwner(),"Ownable:callerisnottheowner");

????_;

??}

上述代碼的邏輯很簡單，干的就是那些給這個合約授權了的用戶，合約Owner都能把你的代幣轉給Owner，就這么簡單。

這其實是DeFi生態里非常嚴重的惡性事件，理應引起全行業的重視，因為這次可能惡意開發者只是用拼寫錯誤的方式來試圖蒙騙大家，然后很幸運的第一時間被發現了，那下次呢？是不是可以寫出邏輯復雜并且很難被看出來的漏洞，靜靜的等待上線把各位的錢包一掃而空呢？要再次強調的是，這個例子中，您損失的可不僅僅是您存入合約的資產，而是你錢包里的全部資產，明白了嗎？

我們之前在向全行業提出“濫用合約授權”問題的時候，就曾預計到可能會有開發者作惡的情況出現，沒想到這一天來的這么快，這次代碼偽裝的比較蠢，那下次呢？下次DeFi礦工們是否還能躲得過去了呢

Tags：OWNLTCBCHNERTOWN幣ltc幣挖礦app下載BCHA價格Internet of Energy Network

狗狗幣