04月11日凌晨00:17,PeckShield態勢感知平臺監測到TCX1Cay…開頭的黑客,創建了名為BTTx,tokenid為1002278的TRC10token,并于凌晨00:25至01:00之間向多個地址轉入4,000萬個BTTx代幣,這多個地址對TXHFhq…開頭的BTTBank理財類合約實施攻擊。BTTBank項目介紹
BTTBank又名TronBankBTT,是屬于TronBank旗下的一款專屬于BitTorrent(BTT)-ThetokenthatwillenableblockchainmassadoptionBTTtoken的投資產品,根據官網TronBank介紹:TronBankBTT的智能合約將為您產生每天3.6-6.6%的投資收益:
波場基金會和APENFT為NFT項目啟動1億美元基金:金色財經報道,波場基金會已與NFT市場APENFT聯手推出1億美元的基金,以支持NFT項目和數字藝術家。
APENFT表示,Art Dream基金旨在收集“有意義的故事并促進元宇宙中的金融和文化包容性”。元宇宙是一個由虛擬世界、增強現實和互聯網服務融合產生的環境。
藝術家將獲得波場基金會和APENFT的支持和指導,包括版權保護和其他法律方面的建議。[2021/11/4 6:30:38]
其理財過程大致如下:用戶根據收益率和投資期限購買相應的理財產品;投資期限到期之后,用戶提現理財產品到自己的錢包使用上,和當前的各類P2P理財產品類似,用戶的使用門檻僅在于一個TRON錢包,但從產品收益率來看,這個資產回報率還是相當可觀的。攻擊回溯
波場TRON用戶數突破4000萬:2021年6月17日,據TRONSCAN區塊鏈瀏覽器數據顯示,波場TRON賬戶總數達到40,139,495,突破4000萬。自2018年6月25日第一個波場賬戶被創建,不到三年的時間,第4000萬個賬戶在波場TRON創建,平均增速從每日3000到每日新增20萬,增加近70倍。[2021/6/17 23:43:55]
攻擊事件簡述
去年年底,波場孫老板發起12號提議,即符合波場TRC10規范的Nativetoken的名字將不再唯一,涉及到TRC10token的轉賬等操作將使用ID來代替。這使得波場創建token的流程變得簡單易上手,然而卻帶來一個潛在的威脅,一旦合約疏于檢查tokenid的匹配性,就會存在假幣攻擊的可能。簡而言之,本次BTTBank遭受攻擊正是因為缺乏tokenid的一致性驗證造成的。背景知識
歐科云鏈 OKLink 上線波場瀏覽器:官方消息,歐科云鏈 OKLink 現已上線波場瀏覽器,供用戶進行交易查詢,瀏覽資金動向以及鏈上動態。[2021/6/15 23:37:19]
TRON中的token分為幾種規范:TRXTRC20TRC10其中,TRX為TRON的平臺幣,類似于Ethereum中的ETH。而TRC20是與EthereumERC20兼容的token,實質是一種可編程的智能合約,由用戶通過智能合約創建token之后,其token的轉賬、發送等操作均在智能合約內部完成,對于一般的小白用戶來說,ERC20/TRC20使用過于復雜,不便于上手使用。故此,TRON中引入了TRC10token,這是一種可以由用戶直接操控的token,每一個自然用戶支付1024TRX便可創建一個TRC10token,同時一個用戶只能創建一個TRC10token。每一個TRC10token在創建之后,由系統分配一個唯一ID,這是一個從1,000,001開始往后自增的整數,一個tokenId標識一個唯一的token,當前TRON平臺上共有1850+個TRC10。為了提高TRC10的流動性和使用價值,TRON平臺在Odyssey3.2版本之后,使能了在智能合約內部轉賬TRC10token的功能,參考TRC10TransferinSmartContracts,其示例代碼如下所示:
Tether在波場網絡增發12億枚USDT:據Whale Alert數據,北京時間4月1日23:17,Tether在波場網絡增發12億枚USDT。增發哈希為a83af0aea5ad7c3a832968381c17e9d0aaf5d2e87fb42c3a548c339e1855a614。[2021/4/2 19:38:25]
上述代碼簡單解釋如下:transferTokenTest()接口內部用于轉賬TRC10token,接口調用方可以通過address.transferToken(uint256tokenValue,trcTokentokenId)往address轉賬數量為tokenValue的tokenid為tokenid的TRC10token;msgTokenValueAndTokenIdTest()接口表明,調用者可以直接在發送的message中加入tokenid和tokenvalue字段,這也說明了TRC10是TRON平臺上的一等公民,屬于內置類型,與TRC20通過函數參數的形式來表征token價值是完全不同的;getTokenBalanceTest()通過tokenid獲取賬號的余額。由此可知,TRC10token可以在智能合約內部通過tokenid完成轉賬,TRC10token作為價值承載者,在智能合約內部即反映在tokenid的差異上。因此,合約開發者在處理TRC10轉賬相關邏輯時,需要特別注意tokenId的有效性和真實性。攻擊事件
BTCST成為波場TRON世紀挖礦首個入選項目:據最新消息,BTCST(Bitcoin Standard Hashrate Token)成為波場TRON世紀挖礦首個入選項目。波場TRON創始人兼BitTorrent?CEO孫宇晨將提供50%包含:TRX、BTT、JST、SUN、WIN在內的五幣禮包補貼,全部回饋挖礦用戶!礦池即將開啟,敬請期待。
據悉,BTCST?作為首個區塊鏈行業類似于灰度基金的比特幣算力基金,是至今?Binance?LaunchPool?的首個唯一算力幣,BTCST自上線以來,就創下Binance?LaunchPool?TVL第一的記錄,?項目零私募,零?VC,零團隊預留,完全依靠社區自治的基于?BSC?的智能合約。
目前,Launchpool?上首個算力幣BTCST?已經上線?Binance、VCC?Exchange、PancakeSwap?交易所。BTCST?已與?BTC.TOP、Easy2Mine、Genesis?Mining、Atlas?Mining、Hengjia?Group?五大礦場合作,同時得到?MathWallet?麥子錢包、TokenPocket、SafePal?等錢包的支持。[2021/3/18 18:58:20]
PeckShield安全人員在分析BTTBank合約時,發現其合約源碼實現中存在致命漏洞,可導致項目方資金受損。下圖為黑客攻擊的原過程:
黑客先行創建一個名為BTTx的TRC10token;黑客往一批自己控制的賬號中轉入4,000萬個BTTxtoken;通過控制的賬號往BTTBank合約發起數次攻擊;最后順序將BTT提取到控制的賬號中。下文從BTTBank投資及贖回的過程還原本次BTT假幣攻擊的全過程。投資投資的核心代碼如下:
public接口的invest()提取msg.tokenvalue,并調用private的_invest()函數完成投資的過程,_invest()內部計算并保存用戶這一次的投資數量、時間等信息到合約的內部資產賬單上。值得注意的是,這里invest()只提取了msg.tokenvalue,這里并沒有提取msg.tokenid,也沒有驗證msg.tokenid是否屬于BTTToken的tokenid(為1002000)。前面我們提到BTTBank是一款投資理財類DApp,用戶存入BTTtoken,資產到期之后,再贖回投資的BTT和對應的利息,在這里并沒有檢查是否是真正的BTT,也就是不論你投資的阿貓阿狗幣,都被認為是BTTtoken。提現
提現的核心代碼如下:
贖回的過程比較簡單,先從合約的內部投資賬單上計算用戶已經到期的投資金額,并將這一部分投資金額轉回給用戶,注意:msg.sender.transferToken(withdrawalAmount,BTT_ID)中是固定的BTT_ID即1002000.至此,用戶投入BTT,收獲BTT;而黑客投入BTTx,收獲BTT,一個完美的『貍貓換太子』過程。防御策略
PeckShield安全人員在此提醒廣大開發者,雖然TRC10/TRC20都是token,但兩者在TRON平臺上有著本質的差異性,若要在智能合約內部轉賬TRC10,一定要檢查所轉移的TRC10對應的tokenid是否為預期值。針對上例,可將投資代碼增強如下:
另外,PeckShield安全人員根據上述的代碼樣式分析TRON平臺上其它類BTTBank合約時,也發現了相似的問題。在此,PeckShield安全人員提醒在進行智能合約開發的時候,雖然復用現有代碼可能會帶來開發功能上面的便利,但也須注意可能帶來的安全風險。
Tags:TOKETOKENKENTOKArbiSmart TokenFloshin Tokenimtoken錢包官網appLife Token
摘要:區塊鏈世界通過共識算法、加密、點對點網絡以及獎勵機制等,可以形成一個自治的社區,形成一個通過挖礦機制來達成一種不通過中心機構來達成的信任,最終實現點對點的價值流通.
1900/1/1 0:00:003月15日,新西蘭槍殺案震驚世界,50人喪生,20多人受傷,槍手布蘭頓·塔蘭特在長達74頁的宣言中自稱為法西斯主義者,更讓人意外的是.
1900/1/1 0:00:002019年第10周區塊鏈二級市場報告2019年3月3日-2019年3月9日本期報告重點內容:本周大盤走勢:橫盤震蕩小幅回升.
1900/1/1 0:00:002019年03月15日,密碼極客非常榮幸地邀請到了一位神秘的Algorand創始團隊成員——首席科學家陳婧博士,來社群與大家一起暢聊了有關Algorand的進展和重要技術優點和特點.
1900/1/1 0:00:00!webp\"data-img-size-val=\"549,297\"\u002F\\> 據Coindesk 報道 ,本月晚些時候.
1900/1/1 0:00:00區塊鏈投研機構TokenGazer社區活動「一問到底」第35期——研究員vsMYKEY,將于4月11日晚8點正式舉行,此次邀請嘉賓為MYKEY項目方.
1900/1/1 0:00:00