TOK:危及ERC20智能合约、让代币价值归零的溢出漏洞到底是什么?

7月8日下午,降维安全实验室监控到,以太坊智能合约AMR存在高危风险交易。团队对代码进行分析,发现其中存在的整数溢出漏洞已被人恶意利用,导致AMR大量增发。今年4月份,攻击者也曾利用该漏洞攻击美图合作的美链BEC,导致市场上顿时出现海量BEC,货币价值几乎归零。那么,整数溢出漏洞是什么?可以从我们熟悉的登陆密码说起。程序怎么判断用户输入密码的正误呢?后台的操作是这样的,先让用户输入密码,然后再调取真正的密码,与之对比,如果差异为0,则输出密码正确,否则错误。这在用户输入正确密码或错误密码时都很好判断。但是,由于后台留给密码的存储空间是有限的,如果此时用户输入的数据超出4个字节,那么将会出现字符溢出。如果程序事先没有被设置对溢出进行判断的话,溢出的字符将使系统报错或关闭。我们再来看此次整数溢出漏洞的缺陷代码片段:该片段出现在一个叫“multiTransfer”的函数中,函数的作用是让一个地址可以同时给多个地址转账。问题代码中的totalTokensToTransfer计算出一共要支出的币的总量,tokens是最终给每个地址转账的金额。由于项目方给totalTokensToTransfer变量赋值时未进行溢出判断,导致当tokens参数非常大时,totalTokensToTransfer变量进行数次计算后溢出为溢出值,系统即认为本次转账总金额为溢出后的值,由此便绕过余额检查的步骤继续完成交易,但实际上其转账金额远大于钱包所含金额。于是系统凭空转出巨额代币,黑客将其在市场上抛售获利。今年6月份,安比实验室对以太坊上部署的合约进行的分析检测,发现共有866个合约存在相同问题。为什么会存在这些漏洞呢?Bcsec安全团队表示,这类漏洞本质是由于编程人员的疏忽造成的,之所以在以太坊ERC20中较大规模蔓延,是由于很多新上线的合约直接copy自一些合约模板,而未对其进行严格的安全评估,因此新项目如要使用应尽量确保其合约的安全性,才可以代表资产进行交易。我是作者黄雪姣,区块链项目报道/交流可加微信hxjiapg,劳请备注职务和事由。

Flybit开展黑客应对培训:金色财经报道,韩国Flybit运营商韩国数字交易所6日宣布,已开展网络危机应对培训。此次培训由信息保护部督导,包括DDoS攻击应对训练和情景化个人信息泄露事故应对模拟训练。包括安全人员、客户支持和系统管理员在内的各个相关部门也参加了培训。[2023/7/6 22:21:11]

PeopleDAO出售NFT以购买美国宪法副本:金色财经报道,名为ConstitutionDAO2的组织重新提出了购买稀有美国宪法副本的想法。该小组由ConstitutionDAO组成,该项目在去年筹集了 4700 万美元通过拍卖行运营商苏富比购买了一份副本。然而,它的出价被Citadel首席执行官Ken Griffin击败,竞标失败后,原来的团队退出了该项目,代币持有者投票选出一个单独的团队接手。名为PeopleDAO的新团队正在进行最新的尝试。该组织正在用NFT而不是Token进行众筹,部分筹款金额保密,为避免再次被篡夺。[2022/12/8 21:29:58]

Glassnode:ETH交易所提款数量达14个月低点:7月11日消息,Glassnode数据显示,ETH交易所提款数量达到14个月低点,七日均值为2,396.131。[2022/7/11 2:05:09]

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金星链

火星币HAN:水木清华袁晔:组织渐次消失

本文来自:火星财经,作者:袁晔,星球日报经授权转发。在区块链领域,从BP/白皮书撰写,路演PPT制作,GitHub上的程序开发众包,社群运营,媒体宣传,到落地执行,早就有了完整的一整个顾问服务产.

[0:31ms0-1:406ms