TRO:TRON漏洞：通過耗盡內存和CPU來引發DoS_troy幣能否漲一萬倍

簡介：單個請求向/wallet/deploycontract提交幾兆字節碼以及CPU密集型長解析將消耗CPU大約10分鐘，同時仍然在堆中保存幾兆字節碼。發起足夠的請求，足以使用所有可用線程來處理傳入的HTTP請求，填滿內存并導致產生拒絕訪問。

描述：

*從一個很大的帶有大指數的十進制數中獲取longValue非常慢。例如newBigDecimal("10000000e100000000").longValue();這段代碼大約需要2-3分鐘才能在較新的macbookpro中運行完成。*/wallet/deploycontract有6個字段，它們從解析的json對象中獲取longValue，即token_id，call_token_value，fee_limit，call_value，consume_user_resource_percent，origin_energy_limit。這意味著單個請求可以使用最多12分鐘的線程。*當一個線程被鎖定12分鐘/deploycontract時，整個字節碼也會放入內存中，這會占用內存并過早地將對象從eden內存空間移動到舊的內存空間*一旦將對象移動到舊的存儲空間，當指針被釋放時將很難清理它們，因此GC會在嘗試清理之前卡住。請注意gc日志和屏幕截圖，其中內存在攻擊停止后很長時間內保持在3G狀態。

Electron Labs公開啟動以太坊和NEAR間測試網橋Positron:金色財經報道，利用零知識輕客戶端的跨鏈協議技術公司Electron Labs宣布正式公開啟動Positron測試網，Positron是連接以太坊和NEAR區塊鏈的測試網橋，允許用戶在Goerli上存入Electron Demo Tokens（EDT）并在NEAR測試網上接收鑄造的代幣。Electron Labs此前從NEAR收到一筆贈款來利用ZK構建跨鏈橋，該協議使用鏈上輕客戶端零知識來驗證交易的有效性。[2023/2/3 11:45:04]

參考：

TRON鏈上TVL為 58 億美元，位居公鏈第三:金色財經報道，?根據DefiLlama 的數據，?TRON鏈上的 DeFi 生態系統正經歷增長，目前鎖定總價值位居據第三，僅次于以太坊和 BSC。TRON 鎖定的總價值為 58 億美元，接近幣安鏈69億美元的 TVL。TRON 的 TVL 價值上漲的部分原因是其新的算法穩定幣 USDD。5 月 28 日，USDD 官方推特賬號宣布，上線第一個月，USDD 總供應量已達到 6 億。[2022/5/30 3:49:43]

jconsole代表內存，CPU和線程的截圖

分析 | ETH?Dapp單筆平均交易額分別為EOS 的20倍和TRON 的11倍:據RatingDapp和RatingToken大數據監測顯示，最近一周，三大公鏈EOS/ETH/TRON交易筆數EOS(27823075)>TRON(8810218)>ETH(456583);交易額EOS($156172182.31)>TRON($90689475.75)>ETH($52593619.49)。各公鏈單筆平均交易額分別為：EOS 5.61美元，環比上周上漲21.98%；ETH 115.19美元，環比上周上漲8.98%；TRON 10.29美元，環比上周上漲48.82%，三條公鏈Dapp單筆平均交易額都呈現不同程度上漲。[2019/4/30]

gclog來顯示JVM進入無限的GC并且仍然無法釋放內存

修復建議

JSONObject.parse使用Feature.UseBigDecimal.getMask;默認情況下。不使用BigDecimal會解決問題，但可能會在需要BigDecimal的其他地方引入問題。

如果整個字節碼一直沒有放入內存中那就好了。

影響使用單臺計算機，攻擊者可以向所有或51％的SR節點發起DDOS攻擊，并使Tron網絡無法使用。

Tags：TROtronRONCONtroy幣能否漲一萬倍UltronGlowNEURON幣Continuum Finance

芝麻開門交易所