INT:首发 | CertiK：DeFi项目Walletreum内部操作攻击事件分析

马克思曾在资本论中引用一句名言：“如果有10%的利润,它就保证到处被使用；

有20%的利润,它就活跃起来；

有50%的利润,它就铤而走险；

为了100%的利润,它就敢践踏一切人间法律；

有300%的利润,它就敢犯任何罪行,甚至绞首的危险。”

对于区块链来说，去中心化是一切的本质，更是区块链世界和生态的标杆。

无论是什么形式的去中心化，它的本质实际上指的都是权力从顶层中心化机构到基层个体的下沉。

这个下沉趋势随着世界的发展不断的惠及每一个个体。区块链所言的“去中心化”同样是随着经济和科技发展，迎合社会发展本质上的一类。铸币权便是其中之一。

LBANK蓝贝壳于3月22日18:00首发 DORA，开放USDT交易:据官方公告，3月22日18:00，LBANK蓝贝壳首发DORA(Dora Factory)，开放USDT交易，现已开放充值。

资料显示，Dora Factory 是基于波卡的 DAO 即服务基础设施，基于 Substrate 的开放、可编程的链上治理协议平台，为新一代去中心化组织和开发者提供二次方投票、曲线拍卖、Bounty 激励、跨链资产管理等可插拔的治理功能。同时，开发者可以向这个 DAO 即服务平台提交新的治理模块，并获得持续的激励。[2021/3/22 19:07:06]

这里的铸币权指的是将其下放至专业及安全的团队或个体手中，通过健康的社区治理，达到实现区块链领域愿景的目的。

首发 | 区块链技术及软件安全实战基地正式成立:金色财经报道，今日，中软协区块链分会、人民大学、菏泽市局相关部门联合共建的区块链技术及软件安全实战基地正式成立。同时聘任中软协区块链分会副秘书长宋爱陆为区块链技术及软件安全实战基地特别专家。

区块链技术及软件安全实战基地主要涉及领域为：非法数字货币交易与、区块链与电信、网络、四方支付、冒用商标注册等，联合社会治理、城市安全、前沿技术领域的行业专家，进行警协合作。

据公开报道，近期菏泽市下属机关刚破获一起特大电信网络案，打掉多个涉嫌以网贷和投资“比特币”为名的团伙，抓获犯罪嫌疑人83名，扣押冻结涉案资金2700万元。[2020/7/21]

然而如同早年间的铸币行为在传统金融中屡禁不绝，区块链领域内的恶意铸币行为也是无休无止。

首发 | 刘尧：百度区块链推出天链平台赋能链上业务:12月20日，由CSDN主办的“2019中国区块链开发者大会”12月20日在北京举行。百度智能云区块链产品负责人刘尧以《企业区块链赋能产业创新落地》为主题进行了演讲，他指出：2020年将是区块链企业落地的元年，为了支持中国区块链的产业落地，百度将区块链进行平台化战略升级，依托百度智能云推出天链平台，就是要赋能360行的链上业务创新落地。[2019/12/20]

一个项目其违背去中心化的本质，通过拥有者的极大权限进行恶意铸币，不仅仅损害了项目的良势发展，更是损害了每一位投资者与项目支持者的切身利益。

北京时间11月16日，CertiK安全研究团队发现DeFi项目Walletreum被项目团队通过内部操作，恶意铸造5亿个WALT代币。截止11月16日早5时，恶意铸造的代币量已约合近190万人民币。

首发 | 此前18000枚BTC转账是交易所Bithumb内部整理:北京链安链上监测系统发现，北京时间10月24日，17:07分发生了一笔18000枚BTC的转账，经分析，这实际上是交易所Bithumb的内部整理工作，将大量100到200枚BTC为单位的UTXO打包成了18笔1000枚BTC的UTXO后转入其内部地址。通常，对各种“面值”的UTXO进行整数级别的整理，属于交易所的规律性操作。[2019/10/24]

CertiK安全研究团队通过分析其智能合约代码，发现其智能合约代码中心化风险极高，存在安全隐患，项目拥有者拥有权限向任意地址铸造任意数目的代币。

完整技术分析如下：

攻击详情分析

项目拥有者地址：0xa5e552e3d643cc89f3b1ceccfd6f42c5c1aee775

图一：内部操作攻击交易信息

图一是Walletreum项目中WALTToken智能合约被内部操作，铸造额外5亿个WALT代币的交易信息。

该交易哈希值为0xc0f3b0576f18a714d78b822754489d4201c9e36fb0ce4b2f53a93217564710e5。

CertiK天网系统(Skynet)检测到区块1126401出现异常交易信息后，立刻向CertiK安全研究团队发出警示。

CertiK安全研究团队在对该项目智能合约进行快速分析后，认为该项目为当前一典型的由于智能合约高中心化而导致的攻击。

图二：WALTToken智能合约mint()函数

?图二为遭受内部操作攻击智能合约中被恶意调用的函数mint()。

从666行的代码实现中可以看出，任何拥有minter权限、可以通过onlyMinter修饰符限制的外部调用者均可以调用该函数。

该函数的作用是通过667行代码向任意账户铸造任意数目的代币。

通过图三中619行onlyMinter修饰符的逻辑实现，以及615行构造函数中给与智能合约部署者minter权限的逻辑实现，智能合约部署者拥有了可以执行图二中mint函数的权限。

图三：onlyMinter修饰符以及给与项目管理者minter权限的构造函数

图四：项目拥有者拥有minter权限

查询项目拥有者是否拥有minter权限的结果如图四所示。

至此，项目拥有者拥有执行mint函数的权利，最终恶意铸造了5亿个WALT代币，致使项目投资者遭受损失。

安全建议

CertiK安全团队通过研究认为，目前大多数DeFi项目中均存在类似于Walletreum项目的风险。

该类mint函数以及minter权限的实现表明了当前DeFi项目中项目拥有者权限过大，中心化风险较高。

这会导致内部操作等情况的发生完全依赖于项目拥有者个人或者团队的“个人素质”与选择。

CertiK团队此前分析过同样存在中心化风险的Mercurity.finance项目，而类似此次Walletreum项目被内部操作攻击的情况以后想必也依旧会发生。

在此，CertiK团队发出建议：

如要防范此类内部操作，应当注重提高社区治理的程度，并在项目实现上尽可能降低中心化权限，对任意重要操作均需要通过社区投票或者运用Timelock延时限制机制。

迄今为止，CertiK已为超过200名机构用户提供了优质服务，保护了超过80亿美元的数字资产与软件系统免受安全损失。

标签：区块链INTMINTMIN区块链工程专业张雪峰HINT价格Mintbasefuturemine

以太坊价格热门资讯