TOK:波场假币攻击全过程：BTTBank理财合约遭黑客假BTT攻击_KEN

04月11日凌晨00:17，PeckShield态势感知平台监测到TCX1Cay…开头的黑客，创建了名为BTTx,tokenid为1002278的TRC10token，并于凌晨00:25至01:00之间向多个地址转入4,000万个BTTx代币，这多个地址对TXHFhq…开头的BTTBank理财类合约实施攻击。BTTBank项目介绍

BTTBank又名TronBankBTT,是属于TronBank旗下的一款专属于BitTorrent(BTT)-ThetokenthatwillenableblockchainmassadoptionBTTtoken的投资产品，根据官网TronBank介绍：TronBankBTT的智能合约将为您产生每天3.6-6.6％的投资收益：

波场DAO联合区块链行业主流机构推出的USDD正式上线:5月5日，波场TRON创始人孙宇晨发推特宣布，波场DAO央行发布了名为USDD的去中心化稳定币，目前已上线Sunswap、Sun.io、Curve、Uniswap、Ellipsis、Pancakeswap、Kyberswap等。本次在波场链的初始发行总量超过1亿美金，通过BTTC跨链协议，目前在BSC和以太坊上各自的流通量都已接近2000万美金。

USDD（Decentralized USD）是波场联合储备与区块链主流机构发起的去中心化算法稳定币。USDD运行在波场网络上，并通过BTTC跨链协议接入以太坊与币安链，未来将接入更多区块链。USDD借助TRX实现与美元（USD）挂钩并保持其价格稳定，以确保用户能够使用一个稳定的、 去中心化的、保障金融自由的数字美元体系。目前USDD官网已正式上线，合约地址请以官网公告为准。[2022/5/5 2:52:26]

其理财过程大致如下：用户根据收益率和投资期限购买相应的理财产品；投资期限到期之后，用户提现理财产品到自己的钱包使用上，和当前的各类P2P理财产品类似，用户的使用门槛仅在于一个TRON钱包，但从产品收益率来看，这个资产回报率还是相当可观的。攻击回溯

波场TRON基金会和Valkyrie推出Valkyrie 波场TRON信托基金:据官方消息，波场TRON基金会同资产管理公司ValkyrieInvestments正式推出Valkyrie波场TRON信托基金。据悉，Valkyrie波场TRON信托基金是美国针对波场加密生态系统的机构基金，基金成立初始规模超过5000万美元，并计划2022年于美国申请上市。

波场TRON创始人孙宇晨表示：“波场TRON成立的初衷是让互联网重新去中心化。作为波场TRON区块链的layer-1代币，TRX将持续为波场生态赋能。 波场基金的发行将是TRX全球战略格局中最初的一步， 即將宣布的一系列产品將极大促进波场TRON与金融市场的对接。”[2021/9/17 23:33:19]

攻击事件简述

波场TRON基金会：已终止波场基金会与孙宇晨对于OKEx内TRX的 1：1兑付提现:据官方最新消息，波场TRON基金会刚刚发布公告表示终止波场基金会与孙宇晨对于OKEx内TRX的1：1兑付提现，已经转账还未处理的交易，团队会继续跟进。团队在公告中对于在这次48小时兑换活动中付出巨大努力的团队，表示衷心的感谢。据悉，波场基金会与孙宇晨在10月20日新加坡时间晚23点38分宣布《波场基金会与孙宇晨关于OKEx平台TRX无上限刚性兑付提现的决定》后，获得了不仅仅波场社区在内的广大币圈同仁的认可与欢迎，至今已经有两批次，共计20人参与，累计兑付TRX11007923。[2020/10/22]

去年年底，波场孙老板发起12号提议，即符合波场TRC10规范的Nativetoken的名字将不再唯一，涉及到TRC10token的转账等操作将使用ID来代替。这使得波场创建token的流程变得简单易上手，然而却带来一个潜在的威胁，一旦合约疏于检查tokenid的匹配性，就会存在假币攻击的可能。简而言之，本次BTTBank遭受攻击正是因为缺乏tokenid的一致性验证造成的。背景知识

波场TRON总账户数突破660万:7月9日，根据TRONSCAN波场区块链浏览器最新数据显示，波场TRON总账户数达到6,666,629，突破660万。波场TRON各项数据平稳增长，波场生态逐渐强大的同时，也将迎来更多交易量。[2020/7/9]

TRON中的token分为几种规范：TRXTRC20TRC10其中，TRX为TRON的平台币，类似于Ethereum中的ETH。而TRC20是与EthereumERC20兼容的token，实质是一种可编程的智能合约，由用户通过智能合约创建token之后，其token的转账、发送等操作均在智能合约内部完成，对于一般的小白用户来说，ERC20/TRC20使用过于复杂，不便于上手使用。故此，TRON中引入了TRC10token,这是一种可以由用户直接操控的token，每一个自然用户支付1024TRX便可创建一个TRC10token，同时一个用户只能创建一个TRC10token。每一个TRC10token在创建之后，由系统分配一个唯一ID，这是一个从1,000,001开始往后自增的整数，一个tokenId标识一个唯一的token，当前TRON平台上共有1850+个TRC10。为了提高TRC10的流动性和使用价值，TRON平台在Odyssey3.2版本之后，使能了在智能合约内部转账TRC10token的功能，参考TRC10TransferinSmartContracts,其示例代码如下所示：

孙宇晨：P网Poloniex将与波场TRON合作，启用全新手续费政策:据最新消息显示，波场TRON创始人兼BitTorrent CEO孙宇晨正在一直播平台直播，孙宇晨表示：“主要有两件事要和大家分享，第一是自2020年6月11日起，P网Poloniex将与波场TRON合作，启用全新手续费政策，用户可使用TRX支付现货和杠杆交易手续费，并享受25%的交易手续费减免；第二是P网Poloniex将启用新的阶梯费率，30日内交易量低于五万美金但在P网持有49美金等值TRX的用户，即可享受优惠费率。”[2020/6/8]

上述代码简单解释如下：transferTokenTest()接口内部用于转账TRC10token，接口调用方可以通过address.transferToken(uint256tokenValue,trcTokentokenId)往address转账数量为tokenValue的tokenid为tokenid的TRC10token；msgTokenValueAndTokenIdTest()接口表明，调用者可以直接在发送的message中加入tokenid和tokenvalue字段，这也说明了TRC10是TRON平台上的一等公民，属于内置类型，与TRC20通过函数参数的形式来表征token价值是完全不同的；getTokenBalanceTest()通过tokenid获取账号的余额。由此可知，TRC10token可以在智能合约内部通过tokenid完成转账，TRC10token作为价值承载者，在智能合约内部即反映在tokenid的差异上。因此，合约开发者在处理TRC10转账相关逻辑时，需要特别注意tokenId的有效性和真实性。攻击事件

PeckShield安全人员在分析BTTBank合约时，发现其合约源码实现中存在致命漏洞，可导致项目方资金受损。下图为黑客攻击的原过程：

黑客先行创建一个名为BTTx的TRC10token；黑客往一批自己控制的账号中转入4,000万个BTTxtoken；通过控制的账号往BTTBank合约发起数次攻击；最后顺序将BTT提取到控制的账号中。下文从BTTBank投资及赎回的过程还原本次BTT假币攻击的全过程。投资投资的核心代码如下：

public接口的invest()提取msg.tokenvalue，并调用private的_invest()函数完成投资的过程，_invest()内部计算并保存用户这一次的投资数量、时间等信息到合约的内部资产账单上。值得注意的是，这里invest()只提取了msg.tokenvalue，这里并没有提取msg.tokenid，也没有验证msg.tokenid是否属于BTTToken的tokenid(为1002000)。前面我们提到BTTBank是一款投资理财类DApp，用户存入BTTtoken，资产到期之后，再赎回投资的BTT和对应的利息，在这里并没有检查是否是真正的BTT，也就是不论你投资的阿猫阿狗币，都被认为是BTTtoken。提现

提现的核心代码如下：

赎回的过程比较简单，先从合约的内部投资账单上计算用户已经到期的投资金额，并将这一部分投资金额转回给用户，注意：msg.sender.transferToken(withdrawalAmount,BTT_ID)中是固定的BTT_ID即1002000.至此，用户投入BTT，收获BTT；而黑客投入BTTx,收获BTT，一个完美的『狸猫换太子』过程。防御策略

PeckShield安全人员在此提醒广大开发者，虽然TRC10/TRC20都是token,但两者在TRON平台上有着本质的差异性，若要在智能合约内部转账TRC10，一定要检查所转移的TRC10对应的tokenid是否为预期值。针对上例，可将投资代码增强如下：

另外，PeckShield安全人员根据上述的代码样式分析TRON平台上其它类BTTBank合约时，也发现了相似的问题。在此，PeckShield安全人员提醒在进行智能合约开发的时候，虽然复用现有代码可能会带来开发功能上面的便利，但也须注意可能带来的安全风险。

标签：TOKKENTOKENTOKEEthfinex Nectar TokenTokenStand NetworkBeach TokenTako Token

瑞波币热门资讯