麻豆国内精品欧美在线-麻豆国内精品久久久久久-麻豆国产在线观看一区二区-麻豆国产在线观看免费-麻豆国产原创-麻豆国产一区二区在线观看

7月9日，慢霧區(qū)發(fā)布以太坊代幣“假充值”漏洞攻擊預(yù)警。PeckShield第一時(shí)間針對(duì)此問題進(jìn)行深入排查和分析，確認(rèn)這是由于某些交易所確認(rèn)機(jī)制不完善以及相關(guān)合約代碼未能嚴(yán)格遵循標(biāo)準(zhǔn)而引發(fā)的問題。目前已發(fā)現(xiàn)并確認(rèn)有十?dāng)?shù)家交易所存在該問題，在此呼吁受影響的交易所及時(shí)排查問題，避免更大的損失。

交易所確認(rèn)機(jī)制漏洞

以ERC-20 Token為例，某些交易所可能僅依賴交易狀態(tài)（TxReceipt Status）和鏈上確認(rèn)次數(shù)（Block Confirmation Number）對(duì)交易結(jié)果作判斷，忽略了對(duì)Token balance的檢查。以下列代碼為例：

如果發(fā)起者賬戶為0且_value為大于0的某個(gè)值，那么調(diào)用后函數(shù)會(huì)返回false，但該筆交易的交易狀態(tài)是Success:

有問題的交易所在確認(rèn)轉(zhuǎn)賬狀態(tài)時(shí)，如前所述只讀取交易狀態(tài)和鏈上確認(rèn)次數(shù)，就會(huì)承認(rèn)該筆轉(zhuǎn)賬，導(dǎo)致虛假轉(zhuǎn)賬問題的產(chǎn)生。

對(duì)合約開發(fā)者的建議：嚴(yán)格遵循標(biāo)準(zhǔn)

合約代碼也存在一定問題，以上述代碼為例，按照ERC-20的標(biāo)準(zhǔn)[1]，transfer函數(shù)在Token賬戶轉(zhuǎn)賬額度不足的條件下應(yīng)該拋出異常:

這樣交易狀態(tài)自然會(huì)變?yōu)镕ail。換言之，即便交易所依賴交易狀態(tài)做最終確認(rèn)，也可確保自身安然無虞。

參考文獻(xiàn)：

[1] https://github.com/ethereum/EIPs/blob/master/EIPS/eip-20.md

涉及到的未嚴(yán)格遵循的合約有547個(gè)。