API:對于此次Filecoin交易所“雙花”事件的勘誤_LOTUS

2021年3月18日，根據相關報道稱，由于Filecoin的遠程過程調用代碼存在“嚴重漏洞”，出現了“雙花”。所謂“雙花”，指的是雙重支付，一筆資金被花費了兩次。這就好比有些人使用投幣電話，在硬幣上狡猾地穿了一根細繩，盡管投擲了硬幣，但實際的交易并沒有完成，他可以在打完電話后利用細繩再將硬幣取出，如法炮制，便能用這枚硬幣打無數次電話。V|jasonbody

但此次這樣的說法是不正確的，且具有強烈的誤導性。對于此次事件Lotus團隊對該報告進行了徹底的調查，并在事后聲稱“沒有發現任何Filecoin網絡和RPCAPI代碼的相關問題”。鏈上并不存在雙花問題，API代碼也沒有錯誤。有關交易所已經修正了該交易所內的錯誤交易記錄。

韓媒：檢方已要求對Bithumb實際控制人簽發逮捕令:1月25日消息，首爾南區檢察廳已要求對Bithumb實際控制人姜鐘賢（音譯）簽發逮捕令，后者被指控在操縱Bithumb關聯公司Vidente、Inbiogen和Bucket Studio的股價方面起到關鍵作用。（韓國SBS News）[2023/1/25 11:29:58]

事件回顧

事件報告：早前Lotus團隊收到交易所錯誤使用LotusAPI計算Filecoin中的轉賬/存款。因為用戶報告了交易所他們的賬戶被交易所記賬系統錯誤地重復記錄。該問題被記賬系統恢復，鏈上本身并沒有重復記錄。

去中心化交易平臺Spin將向早期用戶提供空投:11月22日消息，基于NEAR Protocol的去中心化交易平臺Spin現已正式確認將向早期用戶提供空投，并將在本周公布更多關于空投的細節和線索。

據悉，Spin成立于2021年6月，致力于為鏈上衍生品交易構建多鏈解決方案。[2022/11/22 7:55:55]

API誤解：出現此次問題的核心原因在于對Lotus鏈狀態檢查API使用不當，在多消息處理時與期待處理方式不同。誤解LotusAPI的輸出會導致記賬系統將原始消息和替換消息都算作相同的發送者和接收者。目前為止只有一個交易所出現了該問題。

13款涉虛擬貨幣交易APP被下架:10月9日消息，朝陽法院于今年3月向中國人民銀行、北京市地方金融監督管理局反饋案件審理中發現的相關線索，并發送了清理虛擬貨幣交易平臺的司法建議。中國人民銀行在收到朝陽法院司法建議后，多次與法院進行溝通聯系，積極協調中央及地方相關職能部門開展處置工作。

9月13日，中國人民銀行回函朝陽法院表示已將相關線索內容轉至工業和信息化部，協調相關部門對網站及APP進行封堵處置，共計封堵10個虛擬貨幣交易所APP下載地址、1個虛擬貨幣交易APP及32個相關域名。

9月21日，北京市地方金融監督管理局回函表示，已約談案涉網站運營方，責令其第一時間下架違規內容，同時在中國人民銀行指導下，對全市227家涉嫌虛擬貨幣領域違規企業展開摸排與處置，會同市通信管理局、市網信辦等部門關停23家虛擬貨幣主流媒體網站、440家涉虛擬貨幣宣傳交易自媒體賬號，下架13款涉虛擬貨幣交易APP，管控25個涉嫌虛擬貨幣炒作熱度關鍵詞，由北京銀保監局指導轄內6家銀行對2名疑似虛擬貨幣場外交易商的個人賬戶開展核查并采取限制賬戶非柜面交易、銷戶等管控措施。（朝陽法苑公眾號）[2022/10/9 12:50:46]

自媒體虛假報道：出現了該問題之后，有關“雙花”的不正確的文章在自媒體中傳播。大部分的報道已經被勘誤，RPCAPI代碼并不存在代碼問題。

全球總市值蒸發約25萬億美元 4成股市跌入熊市:金色財經消息，在由全球股票構成的MSCI的代表性指數中占4成的19個國家和地區的股市比近期高點下跌2成以上。以47個主要國家為對象的MSCI所有國家世界指數（ACWI，按當地貨幣計算）截至6月17日跌至702.8點。相比創出近期最高點的1月4日下跌20.7％，已進入熊市。這是新冠疫情蔓延初期的2020年4月以來，兩年零2個月來再次進入熊市。根據QUICK FactSet的數據進行計算，全球總市值進入今年后蒸發了約25萬億美元。（日經中文網）[2022/6/21 4:42:12]

當前采取的行動

受影響交易所：發現錯誤的交易所立即采取措施對于API的錯誤使用，暫停了用戶的充值、交易和轉賬。該錯誤被快速恢復，用戶并沒有資金損失。該交易所正在采取措施糾正對LotusAPI的使用。

預警：其他交易所受到此次事件的預警，并著手審查他們的代碼邏輯，以確保不受此次錯誤的影響，目前還沒有另外的交易所出現同樣的錯誤。

Lotus團隊：目前Lotus團隊正在積極的與交易所溝通合作，以確保這一事件正確解決，并改進API文檔。

社區和媒體：社區某些團隊正在積極與媒體聯系以消除這次錯誤事件的負面影響。

社區團隊：社區成員提供可以幫助其他社區成員準確、周到地報告問題的方法，避免意外傳播錯誤信息。

技術細節

相同信息：根據Lotus團隊披露的消息，此次問題的根源在于有兩條消息有相同的發送者/收到者詳細信息、相同的nonce但擁有不同的Gas參數——被包含在同一tipset中。這樣類似的信息非常常見，但這樣的情況通常Filecoin都會安全且正常的處理，不會出現這次錯誤情況。一般其中一條信息被執行，另一條被忽略。

錯誤使用API：但這次根據人們對鏈的檢查方式，呈現出了消息被處理兩次的樣子。具體來說，有關交易所使用了一種錯誤的處理鏈狀態的方式——在tipset的每個塊上調用ChainGetBlockMessages，然后在這些消息上調用StateGetReceipt。

錯誤的API期望：當StateGetReceipt被調用在兩個相似的消息上，它將提供相同的結果給人感覺兩種消息都被執行了。這誠然是一種違背直覺思維的行為，但卻是有意為之。StateGetReceipt的主要應用場景是在Lotus礦工和處理交易過程中使用的事件處理程序(https://github.com/filecoin-project/lotus/blob/79a8ff04fd5362a367fd7d6469e5287a47baa571/chain/events/events_called.go#L586)中。在消息被替換的情況下，這些模塊并不關心返回的信息是對應原始消息，還是對應替換的消息——它們只是想知道消息是否在鏈上成功執行。我們已經在這里的文檔中增加了澄清：https://github.com/filecoin-project/lotus/pull/5838。

API的正確使用方式：大多數交易所都是正確使用了ChainGetParentMessages和ChainGetParentReceipts來記賬，以計算出鏈上執行了什么消息、哪些消息成功。這些都是Lotus本身在鏈state計算過程中使用的API，以保證使用者能通過這種方式正確反映鏈狀態。

對每一條消息執行StateReplay，可以得到完整的調用結果，這樣使用者就可以將返回的InvocResult中的MsgCid與查詢消息的CID進行比較。這是推薦交易所的正確檢查鏈狀態并保持內部報告系統同步的步驟。

來源：金色財經

Tags：APILOTLOTUSGETblockchaincapitalSLOT幣BITGET違法嗎

抹茶交易所