TECH:独家 | Fairyproof Tech：“白帽拯救行动” 挽回10.9万枚ETH

本文由Fairyproof Tech原创，授权金色财经独家发布，转载请注明出处。

熟悉DeFi生态的用户都听过Sushi，它是DeFi生态中知名的去中心化交易所，和Uniswap在圈内都是顶流的交易所项目。但和Uniswap专注交易的纵向发展路径不同，Sushi除了交易所，也注重在其它领域布局。

拍卖就是Sushi除交易所之外布局的领域。而MISO就是Sushi开发的代币发售平台。这个平台今年2月上线，迄今为止运营了6个多月，整体运行处于比较平稳的状况。

但就在北京时间8月18日凌晨，多名海外的白帽黑客发现MISO平台合约中存在安全漏洞，并联手从众筹资金池中拯救回10.9万枚ETH（约合 3.5 亿美元），使Sushi避免了一场潜在的灾难。

独家 | 杭州嘉楠耘智：目前公司经营正常:金色财经报道，据此前消息，杭州嘉楠耘智信息科技有限公司发生工商变更，原董事孔剑平、孙奇峰、李佳轩，监事屠松华从主要人员中退出，新增孟璐为监事。对此，金色财经记者采访杭州嘉楠耘智官方人员表示，“杭州嘉楠耘智是国内经营主体的母公司，目前经营都正常”。详情请关注金色财经后续报道。[2020/7/9]

以金额看，恐怕此次联手行动是DeFi发展史上“最大的白帽拯救行动”。此次白帽拯救行动导致BitDAO在MISO平台进行的荷兰拍中的ETH资金池提前结束。

尽管事件得以妥善解决，没有酿成大祸，但这次事件仍然给我们留下了很多值得深思的问题和教训。

Fairyproof Tech对此次漏洞的细节分析如下：

独家 | 褚康：Tether增发一定程度上反应了加密市场的发展:金色财经报道，针对“近七日Tether新发行1.57亿USDT”一事，犇睿资本创始人褚康表示，USDT的增量发行，在一定意义上表明当前市场现有USDT存量供应的不足，一定程度上反应了加密市场的发展。目前在整体经济市场较为低迷的情况下，作为避险资产的加密资产应充分发挥其避险价值。[2020/2/17]

这次出现安全漏洞的是MISO的荷兰式拍卖合约。其拍卖合约地址为：

0x4c4564a1FE775D97297F9e3Dc2e762e0Ed5Dda0e

在合约中，首要存在漏洞的是delegatecall函数调用。

独家 | 创世资本：2018年下半年重点关注海外项目:区块链行业发展中，不同的投资机构之间投资逻辑不同，在不同的投资阶段，每个投资机构的选择也不相同。对此，创世资本CEO丰驰在接受金色财经独家采访时指出：“区块链行业发展的非常快，整体市场情况也在不断变化，不同的阶段，创世资本的投资逻辑也会有相应的变化；在2017年中，区块链行业真正开始兴起，还处于一种野蛮生长的状态，当时项目数量很少，在项目稀缺的情况下，最重要的事情就是能够投进去；而到了2017年底，出现了大量的项目，就要开始调整策略，挑选优质的项目进行投资；在2018年上半年，经历了半年的熊市行情包括三月份以来的破发潮，创世资本进行了深入的分析和思考以后有了更加明确的定位，所以在投资逻辑上，我们也有了比较明显的变化，比如严格把关项目质量、重点关注海外项目、布局行业生态以及为项目方提供资金外的价值输出。”[2018/8/3]

delegatecall函数所执行的交易是外部传入的。本合约代码对delegatecall的调用使得每个交易在执行时，使用msg.value不会发生变化，因此调用者可以利用此漏洞支付一笔拍卖费用而提交多笔相同金额的拍卖订单，这相当于免费参与多次拍卖。

金色独家 比特币中国联合创始人戴庆祝：中心化交易所不够安全 但比特币足够安全:金色财经独家专访，目前交易所的安全问题频发，对此比特币中国联合创始人戴庆祝认为，对中心化交易所来说，安全性问题始终是悬在头上的一把利剑。历史上，相当一部分的交易所倒闭都是由于安全问题。

中心化交易所无法彻底杜绝安全问题，换句话说，中心化交易所是不够安全的，但是比特币本身是足够安全的。

在没有监管的情况下，投资者应当尽量把币存在钱包中。去中介化的商业，是区块链行业的愿景，也一直是区块链行业从业者的梦想。然而，在实现去中介化的漫长道路上，我们依然要经历行业生态中的中心化之痛，所有的美好和光鲜，都源自丑陋和不堪，这是成长的代价，不过终将会改变，也正在改变。[2018/6/18]

这部分代码在BoringBatchable.sol文件中，具体代码如下所示：

除此以外，合约的退款逻辑放大了漏洞的攻击力。

当拍卖超过上限即auctionSuccessful()条件成立时，合约会执行退款。这个逻辑结合上面的漏洞就产生了这样的情景：

攻击者免费参与拍卖，并设置拍卖金额超过上限，从而触发合约的退款行为，取走拍卖中其他用户的资金。

退款逻辑由DutchAuction.sol合约中的withdrawTokens()函数实现，其具体代码如下所示：

这个安全漏洞最值得注意的地方是，它很早就已经被圈内认识了，并不是新发现的漏洞，因此其表现形式和特点对于成熟的审计公司而言是很容易被发现的。这样的漏洞完全可以通过审计发现，而不用等到合约上线冒如此大的风险。毕竟并不是每一个项目都能这么幸运，得到白帽黑客的帮助。但每一个项目在上线前进行详细的合约审计却是每个项目团队都应该做也必须做的。

因此我们再次提醒所有的项目方，做好项目审计是保障项目发展的第一要素。Fairyproof Tech永远以严谨的态度和专业的技能为项目方提供踏实、周全的服务。

关于Fairyproof Tech：

Fairyproof Tech科技有限公司是一家专注区块链生态安全的公司。Fairyproof Tech科技主要通过“代码风险检测+逻辑风险检测“的一体化综合方案服务了诸多新兴知名项目。公司成立于2021年01月，团队由一支拥有丰富智能合约编程经验及网络安全经验的团队创建。

团队成员参与发起并提交了以太坊领域的多项标准草案，包括ERC-1646、ERC-2569、ERC-2794，其中ERC-2569 被以太坊团队正式收入。

团队参与了多项以太坊项目的发起及构建，包括区块链平台、DAO组织、链上数据存储、去中心化交易所等项目， 并参与了多个项目的安全审计工作，在此基础上基于团队丰富的经验构建了完善的漏洞追踪及安全防范系统。

作者：

Fairyproof TechCEO 谭粤飞

美国弗吉尼亚理工大学(Virginia Tech, Blacksburg, VA, USA) 工业工程（Industrial Engineering） 硕士(Master)。曾任美国硅谷半导体公司 AIBT Inc（San Jose, CA, USA） 软件工程师，负责底层控制系统的开发、设备制程的程序实现、算法的设计，并负责与台积电的全面技术对接和交流。自2011至今，从事嵌入式，互联网及区块链技术的研究，深圳大学创业学院《区块链概论》课程教师，中山大学区块链与智能中心客座研究员，广东省金融创新研究会常务理事 。个人拥有4项区块链相关专利、3本出版著作。

标签：TEC区块链TECHECHECP Technology区块链的未来发展前景分析Xaviera Techdogechain币发行量

比特币交易所热门资讯