2019年09月13日AirSwap團隊公布了一個AirSwap智能合約中存在致命的漏洞,這一漏洞可以使得用戶的資產在某些情況下被對手惡意吃單『偷盜』,PeckShield安全人員獨立分析了該漏洞,并與AirSwap團隊溝通了細節和修復方案。
漏洞影響概述
PeckShield安全人員深入分析AirSwap智能合約后發現,這一漏洞只對最近上線的Wrapper有影響,AirSwap團隊在發現該問題后第一時間下線當前合約,并將AirSwap?網站回退到之前使用的合約,從合約上線到問題修復整個過程僅持續了24小時,可見AirSwap團隊對于合約安全的重視程度之高。
PeckShield安全人員獨立分析了漏洞細節,并與AirSwap團隊溝通細節和修復的方案,同時將該漏洞命名為“?ItchySwap”。
PeckShield在此提醒,由于這一漏洞可使用戶的資產被攻擊者惡意偷盜,受此次影響的賬號一共有18個,其中有部分賬號有數萬至數十萬美元的資產,這些賬號需要盡快完成升級,或與AirSwap團隊聯系。
Cairo公布路線圖:新合約語法將與Starknet alpha v0.12.0共同推出:6月29日消息,編程語言Cairo公布其路線圖,為了社區便利性,創建公共板以描述即將推出的一些新功能;很快將推出新的合約語法,與Starknet alpha v0.12.0一起發布,需要進行一些代碼更改,很大程度上豐富了智能合約語言;通過Cairo1.1.0在Starknet主網上的推出以及即將到來的v2版本,已經達到了語言成熟度的一個重要里程碑。文檔、書籍和Starknet Discord等資源足夠幫助用戶開始并從Cairo 0遷移。
隨著新合約語法的發布,Cairo現在足夠穩定和豐富,足以支持復雜的應用程序,并移植現有的Cairo 0邏輯。此外,Starknet的向后兼容性保證確保即使語言發生重大變化,用戶也將有足夠的時間(至少六個月)來完成合約的開發或審核和部署。[2023/6/30 22:09:25]
ItchySwap?漏洞詳解
一、AirSwap合約
在分析之前,為方便起見,我們先定義幾個概念:
歐盟委員Mairead McGuinness呼吁對加密貨幣進行全球監管:2月18日消息,歐盟負責金融服務、金融穩定和資本市場聯盟的委員Mairead McGuinness表示,歐盟對加密資產使用的增長并不擔心,但全球需要對該領域進行監管。McGuinness警告說,“如果我們不認真對待”,任何新的金融工具都可能導致巨大的問題。
McGuinness表示,歐洲已經在加密貨幣問題上取得了進展,布魯塞爾已經走在了前沿,同時承認該領域的提議需要關注未來。(Business Plus)[2022/2/18 10:01:15]
1.maker:出售資產的一方;
2.taker:購買資產的一方;
3.order:maker與taker之間發生資產交割的訂單;
4.Indexer:AirSwap中的訂單簿,匯聚了當前正在出售及需要購買的資產信息。
下圖說明了maker、taker和Indexer之間的交互流程:
國際貨幣基金組織:e-Naira或將降低僑民匯款成本:11月17日消息,國際貨幣基金組織(IMF)發布報告《國際貨幣基金組織國家焦點》表示,尼日利亞推出的央行數字貨幣e-Naira可能會降低僑民每年向尼日利亞匯款的成本。此外IMF非洲部負責人Jack Ree表示,匯率改革,包括統一的市場清算率,縮小官方和平行市場匯率之間的差距,將增強使用e-Naira錢包匯款的動力。還稱準備在數據分析、跨國研究、與其他國家分享e-Naira經驗以及討論e-Naira的進一步發展(包括其設計、監管框架和其他方面)方面與尼日利亞合作。(The Nation)[2021/11/17 21:58:14]
AirSwap是一個基于Ethereum的點對點去中心化交易所,它集成了SwapProtocol,在其中作為一個自動托管服務,允許交易的雙方在以太坊上安全地交易任何資產。與許多去中心化交易所不同,AirSwap雖然沒有對資金進行托管控制,但仍然有一個用于匹配目的的集中式訂單簿,它實現了一個用于交易和訂單匹配的完全對等模型。
特別值得一提的是,有一個名為Indexer的鏈下服務,可以聚合來自maker和taker的交易意圖,然后為他們提供匹配的服務。特別是,一旦taker找到了合適的maker,他們就會開始進行場外價格的談判。一旦達成協議,訂單將由Taker通過SwapProtocol在鏈上進行填充和資產交割。
Coinbase即將停止提供對CheapAir的比特幣支付服務:Coinbase即將停止提供對CheapAir的服務,CheapAir之前借助Coinbase為客戶提供比特幣支付服務。因此,該公司要求其比特幣客戶幫助尋找替代方案。此外,一旦CheapAir找到了Coinbase的替代品,它還打算接受比特幣現金、Dash和Litecoin等其他加密貨幣。[2018/4/22]
在AirSwap智能合約中,taker將訂單上鏈及資產交割的過程在AirSwapswap(Types.Ordercalldata_order)函數之中,這一函數實現如下所示:
1)驗證訂單有效性
訂單order參數有效性檢查,這些信息均由taker上鏈的時候指定的,也意味著這些信息都可以由taker篡改,具體包含:
1.訂單還在有效期內;
2.訂單還沒有被其它的taker吃單;
虛擬貨幣銀行Airsebank將收購FDIC Bank美國聯邦儲蓄銀行:據鳳凰財經,虛擬貨幣銀行AriseBank將聯合BitShares收購有著百年歷史的FDIC Bank(美國聯邦儲蓄銀行)。[2017/12/18]
3.訂單還沒有被取消;
4.訂單的nonce大于最小值;
5.設置訂單狀態為TAKEN狀態。
2)驗證taker信息
確立有效的taker,根據order中指定或者等同于合約的調用方msg.sender。
3)驗證maker信息
驗證maker的有效性,這里的驗證分為兩種情況考慮:
1.沒有maker簽名的訂單:需要保證msg.sender有權限操作這個maker地址即可,即這筆order發起者有權限操作maker的資產;
2.order中指定了maker的簽名信息:驗證簽名的有效性。
4)?資產交割
如果上述的驗證流程沒有問題,那么直接執行maker和taker的資產交割。
二、Wrapper合約
在上述的AirSwap合約中,用戶通過swap()函數執行資產互換,這一流程非常清晰,沒有問題。但是這一合約存在一點不完美的地方,用戶只能通過Token進行資產互換,無法直接用ETH平臺幣參與其中。用戶可以先把ETH轉換成WETH,再用WETH參與互換,但無論如何,用戶使用體驗上多了一步。
為了降低用戶使用體驗上的摩擦,AirSwap團隊與2019年09月12日?推出了?Wrapper合約,其使用是自動將用戶轉入的ETH轉換成WETH之后再參與資產互換的過程,其關鍵流程如下:
1.驗證swap()發起方與taker是相同的;
2.如果用戶發起swap()有攜帶了ETH資產,并且需要轉換的token為WETH,那么就自動將ETH轉換成WETH;
3.直接調用AirSwap合約的swap()操作。
考慮到一種特殊的場景,Alice希望通過Wrapper合約執行AirSwap資產互換,這一過程需要先由Alice自行在AirSwap合約中授權Wrapper合約,以允許Wrapper合約可以執行各自的資產交割流程。
由于區塊鏈的透明性,Eve看到了Alice的授權操作,那么他就可以向Wrapper合約發起一筆惡意的訂單,其包含的內容如下:
1.?order中的有效時間、nonce為一個非常大的數值;
2.order中的maker對應的賬號為Alice的賬號;
3.order中的taker為空;
4.order的signature為空。
將上述構造好的order代入AirSwap的swap()?函數,其中1,2兩步的驗證由于是taker控制的,不會有問題,我們重點看下第三步驗證maker信息:
由于此時AirSwap合約是由Wrapper合約調用的,那么msg.sender即Wrapper合約的地址,前文講到,Wrapper合約是經過Alice授權可直接控制Alice的資產,此時雖然Eve沒有權限操作Alice的資產,但此時可以通過Wrapper控制,也就間接地控制了Alice的資產。
安全規避
PeckShield安全人員分析發現,截止至2019年09月28日為止,共有6個賬號執行了revoke()操作,以解除對Wrapper合約的授權,還有12個賬號存在安全風險,這剩下的所有賬號應當立即執行revoke()操作,或者將賬號中的資產轉移至未對Wrapper授權過的安全賬號。
任何的代碼在上線生產環境之前都應當得到充分的測試和驗證,特別是承載著用戶價值的DEX平臺。在產品增加新特性之時,一定要考慮到舊特性的兼容性與安全,新特性的引入不應該觸發舊產品中設計不完備的地方。
附錄
備注:
AirSwap官方漏洞細節鏈接:https://medium.com/fluidity/critical-vulnerability-in-a-new-airswap-smart-contract-c1204e04d7d3??
01 灰度Grayscale報告:三季度投資流入破紀錄,機構投資者興趣增加據Cointelegraph報道,灰度2019年第三季度全部投資流入總額為2.54億美金.
1900/1/1 0:00:00萬向和肖風的區塊鏈版圖到底有多大?在9月14日至9月18日舉辦的“上海區塊鏈國際周”,以及“第五屆區塊鏈全球峰會”上可以看出端倪.
1900/1/1 0:00:00隨著越來越多的合作伙伴在天秤座這座飛船起航之前選擇撤出,Facebook的加密貨幣困境正在加深。美國國會參議員正敦促這些Libra的合作伙伴這樣做,因為一份致相關企業的CEO的信已經在網上泄露.
1900/1/1 0:00:00原文:thenextweb原題:《最新報告:區塊鏈應用程序交易量下降近40%,類仍為最受歡迎項目……》 整理:Carol 來源:區塊鏈大本營,有刪減雖然區塊鏈已經在不斷發展,但在應用層面.
1900/1/1 0:00:00本周三,投資管理公司VanEck針對投資者發布了一份《比特幣投資案例》(theInvestmentCaseforBitcoin)的報告.
1900/1/1 0:00:00美國東部時間周三,美國眾議院金融服務委員會(HouseFinancialServicesCommittee)宣布.
1900/1/1 0:00:00