首发 | Sushiswap智能合约安全漏洞事件分析

北京时间8月28日,CertiK安全研究团队发现sushiswap项目智能合约中存在多个安全漏洞,该漏洞可能被智能合约拥有者利用,允许拥有者进行包括将智能合约账户内的代币在没有授权的情况下取空等操作在内的任意操作。同时该项目智能合约还存在严重的重入攻击漏洞,会导致潜在攻击者的恶意代码被执行多次。

技术步骤:

MasterChief.sol:131 https://github.com/sushiswap/sushiswap/blob/master/contracts/MasterChef.sol

华为康晓宇:银行通过对区块链等技术的探索,让数字金融科技渗透到金融市场基础设施的方方面面:《中国金融》2020年第22期华为数据存储与机器视觉中国区总裁康晓宇刊文《数据基础设施支撑金融科技创新》表示,在今年新冠肺炎疫情暴发后,随着用户消费场景、行为习惯的改变,越来越多的商业银行纷纷加快了业务向线上转移的步伐。从市场发展脉络来看,越来越多的银行希望用数字技术解决金融服务中的难点和痛点,通过对人工智能、区块链、云计算、大数据等新兴技术的探索,让数字金融科技渗透到金融市场基础设施的方方面面。目前,已有5家大型国有商业银行和大部分股份制银行成立金融科技子公司。作为独立法人机构,各家银行的金融科技子公司正在以市场化机制,依托总行资源,不断探索新技术、新模式,积极构建新的金融科技生态。[2020/11/24 21:56:54]

在sushiswap项目智能合约的MasterChief.sol智能合约的131行中,智能合约的拥有者可以有权限来设定上图中migrator变量的值,该值的设定可以决定由哪一个migrator合约的代码来进行后面的操作。

MasterChief.sol:136 https://github.com/sushiswap/sushiswap/blob/master/contracts/MasterChef.sol

当migrator的值被确定之后,上图中142行的代码,migrator.migrate(lpToken)也就被随之确定,由migrate的方法是通过IMigratorChef的接口来进行调用的,因此在调用的时候,migrate的方法中的逻辑代码会根据migrator值的不同而变化。

简而言之,如果智能合约拥有者将migrator的值指向一个包含恶意migrate方法代码的智能合约,那么该拥有者可以进行任何其想进行的恶意操作,甚至可能取空所有的账户内的代币。

同时,在上图142行中执行结束migrator.migrate(lpToken)这一行代码后,智能合约拥有者也可以利用重入攻击漏洞,再次重新执行从136行开始的migrate方法或者其他智能合约方法,进行恶意操作。 

当前sushiswap项目创建者表示已经将该项目加入了时间锁定(timelock)合约的显示,即任意sushiswap项目智能合约拥有者的操作会有48小时的延迟锁定。

该漏洞的启示:

智能合约拥有者不应该拥有无限的权利,必须通过社区监管(governance)来限制智能合约拥有者并确保其不会利用自身优势进行恶意操作;

智能合约代码需要经过严格的安全验证和检查之后,才能够被允许公布。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金宝趣谈

币安下载金色前哨 | 安倍晋三宣布辞职 任内曾推进数字货币发展

金色财经讯,8月28日下午4时,安倍晋三在日本东京首相官邸召开记者会,宣布辞去首相职务。 据此前日本广播协会(NHK)报道,安倍曾在本月连续两次前往医院接受身体检查,检查结果表明,安倍的老毛病溃疡性大肠炎正在恶化,为了避免出现影响国政等问题,安倍决定辞去首相一职。 图片来自:央视新闻 安倍晋三是目前在任时间最长的日本首相。

BTC金色观察|Filecoin的狂想

昨日,Filecoin的大矿工激励计划“太空竞赛”终于启动了。 从几个月前的狂热传播到今天大矿工终于能确认“真正挖出FIL”,矿工们盼望已久。前几次反复消磨了太多生态参与者的兴致,正需要一些提气的进展。所以,在这个时期,生态参与者应该都很开心。

SHIB技术周刊|Filecoin确认太空计划时间 波卡拆分DOT

本周的技术周刊包含以太坊、波卡、Filecoin三个网络的技术类新闻。 以太坊2.0测试网Medalla验证者参与率若无法回升,会考虑重新部署存款合约 以太坊2.0客户端执行团队PrysmaticLabs发布了针对测试网Medalla现时钟bug的分析报告,以太坊开发人员benjaminion总结表示,8月14日晚间几分钟之内,活跃验证者从22000降。

[0:31ms0-15:918ms