I-pause ng Crypto Exchange ang Mga Serbisyo Sa Mga Bug sa Kontrata

Hanggang sa isang dosenang o higit pang ethereum na nakabatay sa ERC-20 na matalinong kontrata ang natagpuang naglalaman ng mga bug na nagpapahintulot sa mga umaatake na lumikha ng maraming token hangga't gusto nila.

Habang ang mga bug – unang natukoy noong Abril 22 <a href="https://peckshield.com/2018/04/22/batchOverflow/">https://peckshield.com/2018/04/22/batchOverflow/</a> at Abril 24 <a href="https://peckshield.com/2018/04/25/proxyOverflow/">https://peckshield.com/2018/04/25/proxyOverflow/</a> , ayon sa pagkakabanggit, sa isang pares ng mga post na inilathala ng blockchain security firm na PeckShield – ay T ipinagpapalit ang sarili nitong numero ng ERC-20 sa isang pamantayang numero ng ERC-20. suspindihin ang mga token ng ERC-20 habang nag-iimbestiga sila. Kasama sa mga palitan na iyon ang OKEx,Poloniex, Changelly, Quoine at HitBTC.

Huobi.Pro

hiwalay na inanunsyo noong Abril 25 na sinuspinde nito ang lahat ng mga barya, ngunit mula noon ay nilimitahan iyon sa mga token na nakabatay sa ERC-20. Sa oras ng press, lumipat ang Poloniex upang ibalik ang mga serbisyo para sa mga token ng ERC-20.

Sa ONE halimbawa, naglipat ang isang attacker ng napakalaking 57.9 * 10^57 BeautyChain Token – gaya ng ipinapakita ng data ng transaksyon sa Etherscan – noong Abril 22, isang pag-unlad na nag-udyok sa paunang pagsisiyasat sa isyu.

"Ipinapakita ng aming pag-aaral na ang naturang paglilipat ay nagmumula sa isang 'in-the-wild' na pag-atake na nagsasamantala sa dati nang hindi kilalang kahinaan sa kontrata. Para sa elaborasyon, tinatawag namin itong partikular na kahinaan na batchOverflow," paliwanag ng post ni PeckShield noong ika-22. "Itinuturo namin na ang batchOverflow ay mahalagang klasikong isyu sa overflow ng integer."

Hindi mabilang na mga barya

Ang batchOverflow post ay nagbabalangkas kung paano ang batchTransfer function sa isang kontrata ay may maximum na bilang ng mga token na maaaring ipadala sa isang transaksyon, at idinagdag na ang halaga ng mga token na inililipat ay dapat na mas mababa kaysa sa kabuuang bilang ng mga token na nabuo. Gayunpaman, ang parameter na "_value" – ONE sa dalawa na tumutukoy sa kabuuang bilang ng mga token – ay maaaring manipulahin, na magpapalit ng isa pang variable, na magreresulta sa isang attacker na makakagawa ng maraming token ayon sa gusto nila.

Dagdag pa, maaaring lampasan ng umaatake ang mga hadlang sa kontrata na karaniwang magtitiyak na ang isang makatwirang bilang ng mga token ay inililipat.

"Kasama halaga na-zero, ang isang umaatake ay maaaring pumasa sa mga pagsusuri sa katinuan sa mga linya 258–259 at gawing walang kaugnayan ang pagbabawas sa linya 261," paliwanag ng post, na binanggit:

"Sa wakas, narito ang kawili-wiling bahagi: tulad ng ipinapakita sa mga linya 262–265, ang balanse ng dalawang receiver ay idadagdag ng napakalaking _value nang hindi nagkakahalaga ng kahit isang sentimos sa bulsa ng umaatake!"

Habang ang mga paunang ulat ay nagsasaad na ang lahat ng ERC-20 token ay maaaring maapektuhan, ang "batchTransfer" function ay hindi bahagi ng token standard.

Hindi inilista ng Medium post ang mga mahihinang proyekto, bagama't napansin nito na ang BeautyChain ang unang proyekto na kanilang natuklasan. Sa tanda ng kabigatan ng bug na iyon, OKEx sabi noong Abril 24 na ibinabalik nito ang mga trade sa BeautyChain Token.

Inanunsyo din ng palitan noong panahong iyon na dahil sa mga bug, sinuspinde nito ang mga pagdeposito at pag-withdraw ng isang proyekto na tinatawag na SmartMesh pangangalakal dahil sa "abnormal na mga aktibidad sa pangangalakal." Nabanggit ni PeckShield na ito ay posibleng dahil sa proxyOverflow bug, na, tulad ng batchOverflow, ay isang klasikong problema sa overflow ng integer. Maaaring manipulahin ang ilang partikular na variable upang kusang makabuo ng malalaking halaga ng mga token.

Napansin ng ONE user ng Twitter na lumikha ang isang attacker ng $5 octodecillion sa mga token ng SmartMesh.

Tulad ng nabanggit sa ONE sa mga post, umiiral ang panganib na maaaring gumamit ang isang tao ng mahinang Cryptocurrency upang manipulahin ang mga presyo sa kanilang pabor sa pamamagitan ng pakikipagkalakalan sa Bitcoin, ether o isa pang pares ng kalakalan.

Ang mga kinatawan para sa mga proyekto ng BeautyChain at SmartMesh ay hindi kaagad tumugon sa mga kahilingan para sa komento. Gayunpaman, isang pahayag sa website ng BeautyChain kinikilala ang bug at nagsasaad na ang pangangalakal ay magpapatuloy sa hindi tiyak na punto sa hinaharap.

Katulad nito, inanunsyo ng SmartMesh na gagawa ito ng mga hakbang upang maiwasan ang pagmamanipula ng presyo, na nagsasabing:

"Kukunin ng SmartMesh Foundation ang katumbas na halaga ng SMT sa pekeng halaga at sisirain ito upang mabawi ang mga pagkalugi na dulot, at KEEP ang kabuuang supply ng SMT sa halagang 3,141,592,653."

Si Fabian Vogelsteller, ang developer na unang nagmungkahi ng ERC-20 standard, ay nagsabi sa CoinDesk na ang mga bug ay "nagpapakita lamang na kailangan namin ng mas mahuhusay na kasanayan at mga tool upang makita ang mga pagkakamaling iyon."

Tandaan: Na-update ang artikulong ito gamit ang komento ng developer at para linawin ang papel ng PeckShield sa pagtuklas ng mga bug.

Larawan ng marbles sa pamamagitan ng Shutterstock