相关文章：
Rust智能合约养成日记合约状态数据定义与方法实现
Rust智能合约养成日记编写Rust智能合约单元测试
Rust智能合约养成日记Rust智能合约部署，函数调用及Explorer的使用
Rust智能合约养成日记Rust智能合约整数溢出
Rust智能合约养成日记拒绝服务攻击
拒绝服务攻击又称DoS(DenialofService)攻击，该类型的攻击将使得智能合约在一段时间内(甚至永久)无法被用户正常使用。
目前已知的原因大致可分为如下两类：
合约逻辑中存在的某些缺陷。如某一public函数，其实现没有考虑到计算复杂度。用户调用该函数时，实际所需消耗的Gas会超出NEAR公链创世区块配置文件(genesis_config.json)中所定义的"max_total_prepaid_gas":300000000000000`(300TGas)，导致交易失败。
FTX US已申请NYDFS信托章程，即将成立信托公司FTX Trust:5月12日消息，FTX US已申请美国纽约金融服务部（NYDFS）颁发的信托章程，申请信托章程意味着平台可以行使受托权，而仅获得 BitLicensee 许可证则不能拥有这一权限。有限目的信托公司可以在纽约从事货币转移，而无需获得单独的纽约货币转移许可证。监管部门批准后，FTX.US 将允许为纽约民众提供加密服务。
此外，FTX 还表示已任命Marissa MacDonald为 FTX Trust Company, LLC 的首席合规官，该公司是 FTX US 即将成立的纽约州有限目的信托公司。[2022/5/12 3:09:44]
某些跨合约调用情形中，合约的执行依赖于其他外部合约的执行状态。而外部合约的执行并非总是可靠，以至于本合约的执行可能被外部合约阻塞，无法照常运行。该类问题的发生可表现为合约用户在合约中的资金被锁定，以至于无法正常的充值或提现。
阿猛：Crust旨在构建一个重视数据隐私和所有权的分布式云生态系统:据官方消息，2021年9月2日晚, 瓦特直播特邀阿猛先生创始人阿猛做客直播间, 就CRUST主网上线事件, 深入探讨数据存储细分市场未来机遇。在本次直播中，阿猛先生表示传统数据存储存在很大痛点，传统数据存储服务存在成本高，安全性差，数据易丢失，缺乏对个人隐私的保护等问题。Crust 旨在构建一个重视数据隐私和所有权的分布式云生态系统，Crust的运行方式就是通过把全球的服务器，通过区块链技术，将这些服务器利用起来。Crust的数据存储方式不仅拥有着极低的边际成本，而且更多的副本为文件提供了可用性，并且唯一的CID可以保证文件不被篡改，且在区块链的技术加持下，文件的安全行得到了更大的保障。
瓦特直播是WBF交易所品牌旗下视频直播平台, 截止目前累计开展114场直播秀, 先后推出6档直播栏目, 邀请90余名行业KOL和精英领袖, 合作媒体社区多达100家。[2021/9/3 22:57:50]
除了合约逻辑的缺陷，DoS现象发生的原因还可以归因于人为因素：典型的如：合约的所有者丢失了自己的私钥，以至于合约中部分only_owner可执行的特权函数无法被调用，使得合约中某些重要的系统状态值无法及时的更新，这将有可能对项目造成较大的损失。
Russell Coin(RC)将于3月29日16:00开启RC/USDT交易:据ZBG官方消息，Russell Coin(RC)将于3月29日16:00开启RC/USDT交易；另外“充值RC瓜分1万枚RC”活动已于24日启动，活动期间，用户从外部地址向平台成功充值RC的用户，将按照净充值（充值-提现）数量瓜分总计1万枚RC奖励。
罗素币(RC)于2017年11月21日创世，总量2100万个。RC科学的采用了完全去中心化的主节点奖励计划，POW挖矿纳税给主节点的激励机制，结合最新X20R算法，达到电脑挖矿能耗更低，抗双花攻击，环形加密匿名性更强。独创安卓手机钱包的X20R科学算法，实现了移动匿名区块快速转账技术。更多详情请咨询官网公告。[2021/3/25 19:17:36]
为方便读者更加深刻地了解智能合约中的DoS攻击漏洞，本文后续将结合具体DoS攻击的例子展开描述与分析。本文代码已上传至BlockSec官方github，读者可以自行下载https://github.com/blocksecteam/near_demo/tree/main/DoSDemo
波卡平行链TrustBase CC2测试网已连接到Rococo V1:3月1日消息，基于独立智能合约语言Subscript的波卡平行链TrustBase发推称，其CC2测试网已经连接到Rococo V1，并通过了平行链功能的基本验证。
据此前报道，TrustBase宣布已完成首轮百万美元融资，参与的机构包括Candaq、德邻资本、DFG、BTX Capital、AU21、水滴资本、OASIS CAPITAL、Angelone、HappyBlock、Polkafund、Hot Labs、CoinsGroup、ChainCapital、加密资本。在后续计划中，TrustBase将围绕开发者生态、CC2测试网、插槽竞拍以及NFT发售等计划开展一系列相关活动，并预计将于2021年第二季度登陆交易所，面向全球投资者开放TBE交易。[2021/3/1 18:04:30]
用户可通过调用pubfnregister_account()函数进行注册并初始化。
声音 | TrustToken联合创始人：稳定币发行者需要遵守标准 需与交易者建立信任:据CoinDesk消息，针对近期Tether和Bitfinex事件引发的对稳定币发展的思考，TrustToken联合创始人Rafael Cosman表示，第三方信托公司负责托管用户资金，稳定币发行者需要遵守标准。与交易者建立信任，不仅对运营一家成功的稳定公司很重要，对加密货币行业未来增长也至关重要。[2019/5/2]
后续该合约的管理者将调用pubfndistribute_token函数来为系统中用户进行"分红"。“分红”的方式为遍历用户数组self.registered,并通过跨合约调用向每一个用户转入指定额度amount的代币以做奖励。
然而该合约状态数据(self.registered)的大小没有限制，并且可以被恶意用户所操控，使得该合约数据的大小变得过大。以至于DISTRIBUTOR用户在调用该合约方法时，可能消耗的Gas费用过高，超出了GASLIMIT。
如下是该合约在实际NEARLocalnet中测试的结果
可以看到当系统中注册的用户较多时，实际在distribute_token执行的过程中，所设置的prepaid_gas将不足以满足所有用户的转账操作，以至于本次交易失败。
推荐的解决方案:
由于GasLimit的限制，合约方法在执行过程中不建议遍历一个较大的数据结构(该数据结构的大小可被外部用户操纵)。确需遍历的，也需要限制该数据结构的大小，并保证当该数据结构的大小达到该最大值时，也不会触及GasLimit的限制。
因此推荐采用withdrawal模式对上述合约进行改造。即要求合约方不主动地对所有的用户逐一发放奖励，而是先记账，并设置一个withdraw函数，让单一用户通过该函数方法的调用，自行取回“分红”奖励。此时合约方也只需要维护逐一用户已经取回的奖励数额或者还能取回的奖励数额即可。
用户可以通过调用“竞价合约”中的pubfnregister_account函数方法注册账户，为参与后续的竞价做准备
用户还可以通过如下接口函数查询当前系统中目前为止出价最高的用户ID，及其所出的价格。
用户还可以通过如下接口函数查询当前系统中目前为止出价最高的用户ID，及其所出的价格。
当竞价合约收到token时，会通过ft_on_transfer函数调用到如下bid函数。
在该出价函数中，函数的执行逻辑将首先检查本次用户的出价是否高于之前出价最高用户的出价值。如果满足该条件，将执行self.refund_exe()从“竞价合约”中退回之前出价最高用户的出价代币。随后更新目前为止出价最高的用户ID及其所出的价格。
实际的情况是，根据该合约的逻辑定义：必须要退回之前出价最高用户的出价代币，才能将目前为止出价最高的用户ID进行更替。
在该出价函数中，函数的执行逻辑将首先检查本次用户的出价是否高于之前出价最高用户的出价值。如果满足该条件，将执行self.refund_exe()从“竞价合约”中退回之前出价最高用户的出价代币。随后更新目前为止出价最高的用户ID及其所出的价格。
实际的情况是，根据该合约的逻辑定义：必须要退回之前出价最高用户的出价代币，才能将目前为止出价最高的用户ID进行更替。
此时测试模拟了“竞价系统”的参与的用户：user0、user1和user2
他们分别拥有10000个初始代币。user0首先在“竞价系统”中出价1000，此时查询可知current_leader:user0.test.nearhighest_bid:1000。随后user0立即将剩余的9000个代币转给了user2，并销毁了代币账户。
此后，当user1出价2000时，系统将打算退回user0之前的出价值。但由于此时user0的账户已不存在，系统将提示"CannotRefund"，始终无法成功完成后续的交易更新状态。
此时第二位出价者想出价2000:
解决方法：
如果合约的状态的转化需要依赖于外部合约的调用处理，则需要考虑外部合约调用可能失败的情形，防止合约的执行逻辑被阻塞而拒绝服务，即我们需要实现合理的错误处理手段。在本例子中，我们可以将无法退回的代币寄存于合约新增的lost_found用户组中，当后续用户满足条件refund条件时，再由用户本身来进一步取回代币(同样可以实现withdraw函数)。
3.Owner私钥丢失
去中性化智能合约项目中往往也存在部分中心化的现象：如存在合约的owner。部分合约函数的执行被设置为仅owner可以执行，用以对合约中某些关键系统变量值的进行设置更改。我们可以将此类函数称之为only_owner类型函数。
例如前文在“分红”合约中所定义的pubfndistribute_token,该函数即为only_owner函数。当合约的owner无法履行职能(私钥丢失)时，资金将一直被锁定在合约之中，无法分发给其他用户。另有大多数的情况下，only_owner函数还可以用来暂停或者重启合约中的所有交易，可见owner正常履行其职能的重要性。
解决方法：
为避免上述owner个人“失能”情形的发生，我们可增设多位合约的owner共同治理合约，甚至可采用多签请求的方式来替换原有的合约权限控制方案，以此实现合约的去中心化治理效果。有关智能合约中多签请求功能的设计实现，将在后续的《智能合约养成日记》中展开详细的描述。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。