TOKE:危及ERC20智能合约、让代币价值归零的溢出漏洞到底是什么？_BNB Fan Token

7月8日下午，降维安全实验室监控到，以太坊智能合约AMR存在高危风险交易。团队对代码进行分析，发现其中存在的整数溢出漏洞已被人恶意利用，导致AMR大量增发。今年4月份，攻击者也曾利用该漏洞攻击美图合作的美链BEC，导致市场上顿时出现海量BEC，货币价值几乎归零。那么，整数溢出漏洞是什么？可以从我们熟悉的登陆密码说起。程序怎么判断用户输入密码的正误呢？后台的操作是这样的，先让用户输入密码，然后再调取真正的密码，与之对比，如果差异为0，则输出密码正确，否则错误。这在用户输入正确密码或错误密码时都很好判断。但是，由于后台留给密码的存储空间是有限的，如果此时用户输入的数据超出4个字节，那么将会出现字符溢出。如果程序事先没有被设置对溢出进行判断的话，溢出的字符将使系统报错或关闭。我们再来看此次整数溢出漏洞的缺陷代码片段：该片段出现在一个叫“multiTransfer”的函数中，函数的作用是让一个地址可以同时给多个地址转账。问题代码中的totalTokensToTransfer计算出一共要支出的币的总量，tokens是最终给每个地址转账的金额。由于项目方给totalTokensToTransfer变量赋值时未进行溢出判断，导致当tokens参数非常大时，totalTokensToTransfer变量进行数次计算后溢出为溢出值，系统即认为本次转账总金额为溢出后的值，由此便绕过余额检查的步骤继续完成交易，但实际上其转账金额远大于钱包所含金额。于是系统凭空转出巨额代币，黑客将其在市场上抛售获利。今年6月份，安比实验室对以太坊上部署的合约进行的分析检测，发现共有866个合约存在相同问题。为什么会存在这些漏洞呢？Bcsec安全团队表示，这类漏洞本质是由于编程人员的疏忽造成的，之所以在以太坊ERC20中较大规模蔓延，是由于很多新上线的合约直接copy自一些合约模板，而未对其进行严格的安全评估，因此新项目如要使用应尽量确保其合约的安全性，才可以代表资产进行交易。我是作者黄雪姣，区块链项目报道/交流可加微信hxjiapg，劳请备注职务和事由。

Circle欧盟政策负责人：即使在目前的市场环境下稳定币交易量依然强大:金色财经报道，Circle欧盟政策负责人Patrick Hansen发推称，即使在目前的市场环境下，稳定币的交易量看起来也令人难以置信地强大。无论人们怎么说，市场数据是明确的。人们和企业正在采用稳定币，因为它们提供了效用和价值。[2023/4/24 14:23:44]

稳定币协议Abracadabra上线Stargate Degenbox策略:5月19日消息，稳定币协议Abracadabra上线Stargate Degenbox策略，旨在提高有息抵押品的收益率。用户只要存入Stargate LP余额（例如 USDC 或 USDT），就可以在Stargate Finance上获取STG代币，其中奖励将按比例分配给存款数额，且收取50%的管理费，以用于协议金库。[2022/5/19 3:27:15]

Huobi Global投资公链Cube，拟拓展Web3生态战略:金色财经报道，加密交易平台及区块链解决方案提供商Huobi Global宣布投资公链 Cube，旨在拓展其 Web3 生态战略，具体投资金额暂未披露。Cube 前身为 Cube Chain，是一个基于多链分层架构设计的新型、模块化、免许可和 EVM 兼容公链，与Cosmos 生态系统兼容，据 Huobi Global 首席财务官 Lily Zhang 透露，Huobi Global 未来将继续投资更多公链并致力于改善 Web3 基础设施。（crowdfundinsider）[2022/6/14 4:24:19]

标签：TOTKENTOKEENSTOTO价格BNB Fan TokenREALLIQ TokenRENS币

芝麻开门交易所下载热门资讯