多個ERC20幣種存在安全隱患 “攻擊者”可以“零成本”割韭菜套利

• 2018年6月12日 ZhouXun來源：Bianews 502 27
• 繁體

• 

  2018-2023年中國創業投資與私募股權行業市場深度調研分析及投資發展前景預測報告

  在現代市場經濟活動中，信息已經是一種重要的經濟資源，信息資源的優先占有者勝，反之則處于劣勢。中國每年有近百萬家企業倒閉，對于企業經營而言，因為失誤而出局，極有可能意味著從此退出歷史...

多個已經在主流交易所上線的ERC20幣種的智能合約代碼存在嚴重的安全隱患，“攻擊者”可通過公開的接口，以“零成本”技術手段實施割韭菜套利行為。

區塊鏈安全公司PeckShield發布報告稱：多個已經在主流交易所上線的ERC20幣種的智能合約代碼存在嚴重的安全隱患，“攻擊者”可通過公開的接口，以“零成本”技術手段實施割韭菜套利行為。

PeckShield調查發現，目前已知有700多個ERC20幣種存在此類問題。已經證實了至少有數十個幣種已經在包括幣安、火幣以及OKex在內的主流交易所公開上線交易，且交易量巨大。其中最大幣種市值已達1.5億美金，全部幣種共影響波及數十萬投資者。

PeckShield已向包括火幣、幣安以及OKex等多個主流交易所發出安全警報。

PeckShield研究大量智能合約代碼發現，攻擊者可使用如下兩種技術手段來操縱幣價：

安全問題一：項目owner可無限增發Token

存在問題的ERC20幣種智能合約有一個僅owner可調用的方法：mintToken，這個可被 owner用于增發token。

通常一個項目在上交易所之前即預售期，增發行為尚算合理，項 目方定向空投一些Token給特定地址，目的是為了激勵社區用戶參與活躍度。但在交易所上線可正常交易后，此種借助智能合約的增發行為會讓項目owner空手套利，會嚴重影響市場平衡。

目前發現有10余種存在此類問題的可交易Token，他們存在于23個包括 Binance和OKex這樣的頂級交易所，且目前交易量巨大，一旦被利用可以影響數以萬計的 投資者。

以下為披露此信息時，已經發現的10個存在此問題的Token。

安全問題二：可操縱的價格和不公平的套利行為

存在問題的ERC20幣種的智能合約有三個可調用方法：

1) setPrices: 僅owner可訪問，用來調整通過方法buy以及sell進行的token的買賣價格 (即buyPrice / sellPrice);

2) buy: 公開且任意可訪問方法，根據buyPrice購買token;

3) sell: 公開且任意可訪問方法，根據sellPrice購買token。 為描述方便起見，將buyPrice / sellPrice稱之為owner可操縱價格，并將token在 交易所的價格稱為市場價格。

按理說，一個幣種上交易所后，交易走量都需要通過交易平臺，成交時的買賣價格也是和市 場保持同步的。然而，在圖二代碼中發現，項目owner可以通過智能合約任意修改買 入價和賣出價，完全不需要依照市場價格。這樣以來“套利”空間就有了，套利者可以在 Token市場價格略高通過接口定一個較低的買入價，然后再以市場價格賣出，套利者還可以用市場價格買入Token，再設定一個比市場價格高的價格賣出。

不管怎樣，這是一種干涉市場對流通Token“定價權”的行為，嚴重點講已經控制了市場，對市場上其他投資者 而言存在極大的不公平。

以下為披露信息時，已經發現的9個存在此問題的Token。

截至目前為止，已發現9個可交易的token，在26個交易所上線交易。其中如SUB、INT 和SWFTC等token都在主流的交易所上線并擁有巨大的交易量和影響力。

其它安全問題

進一步研究發現，sell或buy方法中存在整數溢出漏洞，項目owner 在布局第二種套利行為的時候，可以設計一個套利陷阱，owner能夠利用該漏洞損害普通用戶應得的收益。

通常來講，傳統股票證券市場存在這樣的“割韭菜”套路，幕后大莊通過周期性低拉高拋來 制造市場震蕩來收割韭菜，利用的是不少散戶投資者盲目追漲殺跌的心理。大多數情況下， 數字貨幣市場的大部分割韭菜行為也是基于此市場化操盤來實現。最新發現的此種借助智能合約漏洞割韭菜的方式，不經過市場，以技術手段進行零成本收割，對數字貨幣市場的穩定性威脅極大。

眾所周知，交易所控著著數字貨幣資產的流進和流出，作為一個數字資產中轉樞紐，交易所自誕生以來漏洞和安全事件就層出不窮，數年來，圍繞交易所出現的黑客攻擊事件，已造成超百億美元的損失。

然而，這僅僅是明面上技術漏洞誘發的黑客攻擊事件，幕后還有借助智能合約代碼漏洞實施操縱幣價展開不公平套利行為。

6月9日，PeckShield發現了上述安全隱患，在評估了安全威脅之后第一時間通知了相 關交易所，希望攜手交易所來共同預防危機的發生。不少交易所(如幣安)和項目方(如 Substratum，即SUB)在得到通報后已積極做出了響應。

延伸閱讀

推薦閱讀

猜您喜歡