Primer lanzamiento | El contrato inteligente basado en el proyecto DeFi tiene una laguna, ¿qué pasó?

"Nunca es demasiado tarde para arreglarlo" es un dicho que se cumple la mayor parte del tiempo en la vida. Sin embargo, de cara a la seguridad de la red, una brecha puede causar pérdidas irreparables.

Ser descubierto antes de que los problemas de seguridad causen pérdidas irreparables, o estar completamente preparado desde el principio, es la primera prioridad de la seguridad como practicante de blockchain.

En la tarde del 14 de agosto, hora de Beijing, el equipo de tecnología de seguridad de CertiK descubrió que el proyecto de agricultura anónima de DeFi, Based, anunció oficialmente que un atacante había congelado el Pool 1 llamando a una función en el contrato inteligente de Based, y anunció que volvería a implementar su Pool. Uno.

El Banco de China se une al proyecto de puente de moneda digital del banco central multilateral: Jinse Finance informó que el proyecto de investigación de puente de moneda digital del banco central multilateral publicó un manual de casos de uso el 3 de noviembre, y el Banco de China participó en el proyecto de puente de moneda bajo la guía de supervisión , aprovechando los vínculos nacionales y extranjeros, Bank of China La oficina central y Bank of China Hong Kong participaron conjuntamente en la verificación del negocio de financiamiento de pedidos basado en el puente de divisas y el negocio de pagos transfronterizos. El proyecto del puente monetario cuenta con el apoyo del Centro de Innovación de Hong Kong del Banco de Pagos Internacionales, copatrocinado por la Autoridad Monetaria de Hong Kong, el Banco Central de Tailandia, el Banco Central de los Emiratos Árabes Unidos y el Instituto de Investigación de Moneda Digital de el Banco Popular de China El Banco de China declaró que participó en el proyecto de puente de moneda digital del banco central multilateral, es un intento importante del Banco de China para explorar los pagos transfronterizos en la era de la moneda digital. [2021/11/4 21:25:00]

El tweet oficial indicó que los piratas informáticos intentaron congelar "Pool1" de forma permanente, pero el intento fracasó. Y "Pool1" continuará según lo planeado.

BTC cayó por debajo de la marca de los $11 900 con una caída intradiaria del 0,23 %: según datos de Huobi Global, BTC cayó a corto plazo y cayó por debajo de la marca de los $11 900. Ahora está en $11 895,74, con una caída intradiaria del 0,23 %. en gran medida, así que por favor haga un buen trabajo de control de riesgos. [2020/10/21]

Al analizar el contrato inteligente, CertiK cree que la congelación del grupo n. ° 1 del proyecto Basado fue un accidente causado por una laguna en el contrato inteligente.

El equipo de la base implementó el contrato inteligente de grupo n.º 1 y la dirección de implementación es 0x77caF750cC58C148D47fD52DdDe43575AA179d1f.

BitShares tomó con éxito una instantánea de toda la red NBS mainnet se lanzó con éxito: según el anuncio oficial del sitio web, a las 21:55 hora de Beijing el 10 de septiembre de 2020, BitShares BTS China Association tomó con éxito una instantánea de toda la red BTS en bloque altura 51339841, y Fork la nueva cadena NBS. En la actualidad, la red principal de NBS se ha lanzado con éxito. [2020/9/10]

Basado declara oficialmente al propietario del contrato inteligente llamando a la función renunciar a la propiedad en el contrato inteligente, pero no inicializa el contrato inteligente.

Debido a que la función de inicialización en el contrato inteligente Basado está configurada incorrectamente para llamarse externamente, durante el proceso de inicialización del contrato inteligente, un atacante externo inicializa el contrato inteligente del grupo No. 1 con un valor incorrecto.

La inicialización incorrecta hizo que el oficial de base no pudiera reiniciar el contrato inteligente del grupo n. ° 1, por lo que el grupo n. ° 1 se congeló y no se pudo completar ninguna promesa.

Basado oficialmente decidió abandonar el contrato inteligente y volver a implementar el contrato inteligente de grupo n. ° 1.  

1. Después de implementar el contrato inteligente, el equipo basado no llamó a la función de inicialización en la siguiente figura a tiempo para inicializar la configuración del contrato inteligente:

2. La persona que llama externa aprovechó la diferencia de tiempo entre la implementación y la inicialización del contrato inteligente por parte del equipo basado, y aprovechó la oportunidad para llamar a la función de inicialización en la línea 671 en la figura a continuación, cuyo rango de llamada se configuró incorrectamente para inicializar el contrato inteligente del grupo No. 1 primero:

3. Las dos funciones de inicialización de la figura anterior se modifican con el modificador del inicializador. Según el código, si se llama a una de las funciones de inicialización, no se puede llamar a la otra función de inicialización. El código modificador del inicializador se muestra en la siguiente figura, lo que hizo que la Base oficial perdiera la oportunidad de inicializar la función:

4. Según los factores anteriores, el contrato inteligente basado no se puede inicializar oficialmente correctamente, por lo que no se puede realizar ningún compromiso.

Registro de transacciones de compromiso fallido:

El incidente fue causado esencialmente por una vulnerabilidad en el contrato inteligente, pero si el equipo de la base notó esta vulnerabilidad temprano e inicializó el contrato inteligente con anticipación, el peligro podría evitarse por completo y el grupo número 1 se congelaría. Por ello, el equipo de tecnología de seguridad de CertiK hace las siguientes recomendaciones:

Al implementar contratos inteligentes, se deben preparar herramientas como los scripts de comando necesarios para inicializar los contratos inteligentes, y los contratos inteligentes se deben inicializar de manera oportuna para evitar que los atacantes inicialicen de forma preventiva o manipulen de manera maliciosa los contratos inteligentes aprovechando la diferencia horaria entre las operaciones de implementación. y operaciones de inicialización.

Los desarrolladores deben dominar los principios operativos y los detalles técnicos de los contratos inteligentes, y no deben adoptar ciegamente otros códigos de contratos inteligentes.

Se puede invitar a un equipo de seguridad externo profesional o expertos en seguridad interna a auditar su contrato inteligente para garantizar la seguridad y confiabilidad del contrato inteligente.

Tags：

Huobi App Download