TRA:首发 | Mercurity.finance智能合约安全漏洞分析

今年美国大选虽说有了广泛意义上的尘埃落定，但竞选结果并未明确。

如今拜登团队宣布胜选，美国媒体纷纷宣布拜登当选下届美国总统。而另一方面，川普拒绝接受败选结果，他持续进行计票，并宣称要采取法律行动。

造成如今这个混乱结果的首要原因在于美国没有设立独立的对大选事务具有权力的权威性的选举委员会，在默认情况下，是新闻机构承担了这个角色。假如川普获得过大的权力，控制了大多新闻机构，营造虚假选票，结果尚未可知。

这就意味着某种程度上，可以说是极尽中心化的“推特治国”后的又一“媒体选举”。

从选举，到互联网，到区块链，2020年，中心化不再是权威的体现，而是“独断”、“专权”的代名词。

百度Apollo首发 “Apollo 001”系列纪念数字藏品:金色财经报道，据百度Apollo智能驾驶官方公众号，百度Apollo全网首发首款 “Apollo 001”系列纪念数字藏品，以百度汽车机器人为主体形象，每款对应一个百度Apollo自动驾驶重要里程碑事件。据悉，该数字藏品将于2022年7月8日 09:55发布汽车机器人家族全家福空投款。[2022/7/7 1:58:19]

北京时间11月9日，CertiK安全研究团队发现DeFi项目Mercurity.finance智能合约代码部分存在中心化风险。

项目拥有者拥有过大权限，可以进行任意数目的铸币，并为给定账户提供任意数目的奖励。

LBANK蓝贝壳于3月22日18:00首发 DORA，开放USDT交易:据官方公告，3月22日18:00，LBANK蓝贝壳首发DORA(Dora Factory)，开放USDT交易，现已开放充值。

资料显示，Dora Factory 是基于波卡的 DAO 即服务基础设施，基于 Substrate 的开放、可编程的链上治理协议平台，为新一代去中心化组织和开发者提供二次方投票、曲线拍卖、Bounty 激励、跨链资产管理等可插拔的治理功能。同时，开发者可以向这个 DAO 即服务平台提交新的治理模块，并获得持续的激励。[2021/3/22 19:07:06]

技术步骤分析如下：

ERC20Token.sol

IMEOS首发 EOS Go公布新增两条复选条件 :据金色财经合作伙伴IMEOS报道：今日，EOS Go在 steemit上公布新增的两条复选条件为：

1. 保证安全的计划：候选节点是否在steemit上发布文章介绍该节点的安全方法和计划，“安全方法”标准是向EOS选民展示安全最佳实践知识和组织实施计划的机会；

2. 立场：描述该节点分享通胀奖励和/或向EOS代币持有人派发股息的立场（候选节点在steemit发布）。主要阐述以下两个问题：

该组织是否会出于任何原因向EOS令牌选民提供支付，包括BP选举和社区建议？

该组织是否有书面的无票付款政策？如果是这样，请提供一个链接。[2018/4/27]

代码地址：

IMEOS首发 BM表示EOS合约具有整数溢出保护:据金色财经合作媒体IMEOS报道：近日ETH出现多个ERC20智能合约的处理溢出错误，BM在推特上发表评论：新的ETH契约Bug可能会破坏整个Token的供应，让持有者留下无价值Token.这就算为什么代码不能成为法律，随即表示EOS erc合约不容易受到这种攻击。而EOS官方群也有人表示担忧EOS是否具有整数溢出保护？BM回应：有很多C ++模板类可以封装类型并检查溢出。[2018/4/25]

https://github.com/MER-DAO/MEE-core/blob/main/contracts/tokens/ERC20Token.sol

部署地址：

https://etherscan.io/address/0xe1b583dc66e0a24fd9af2dc665f6f5e48978e106#code

图一:ERC20Token智能合约构造函数

图二：onlyIssuer修饰词

图三:具有铸币方法的issue函数

如图一所示，项目拥有者在ERC20Token.sol智能合约中的构造函数可以将自身设置为issuer身份。由于在智能合约部署时，其构造函数会被自动执行，因此项目拥有者会自动成为issuer。

通过图二中显示的onlyIssuer修饰词的限制，任意拥有issuer身份的外部调用者将可以执行任意被onlyIssuer修饰词修饰的函数。

因此，拥有issuer身份的项目拥有者可以执行图三中具有铸币方法的issue函数，从而可以为任意账户铸造任意数目的代币。

除此之外，该项目还存在一个允许项目拥有者提供代币奖励的后门。该后门存在与AwardContract.sol智能合约中。

AwardContract.sol

代码地址：

https://github.com/MER-DAO/MEE-core/blob/main/contracts/AwardContract.sol

部署地址：

https://etherscan.io/address/0x8Ea43ce113456f45defd0E27e809d719b9CA2362#code

图四：AwardContract智能合约构造函数

图五：onlyGovernor修饰词

图六：addFreeAward智能合约函数

当AwardContract.sol被项目拥有者部署到区块链上时，AwardContract合约的构造函数会被自动执行，也就意味着图四中43行代码被自动执行后，项目拥有者会自动被赋予governor身份。

拥有governor身份的外部调用者可以类似的执行任意被onlyGovernor修饰词修饰的智能合约函数，例如图六中所示addFreeAward函数。

由于所有外部调用者都可以通过调用图七中withdraw函数来将属于自己的奖励取出，因此当governor身份的外部调用者为某一个账户添加了某一数量的奖励后，A账户可以对该函数进行调用，并通过246行的判断条件检查后，通过在281行调用safeIssue()函数来取出被添加的奖励。

图7：withdraw智能合约函数

综上分析，Mercurity.finance项目中智能合约存在的后门漏洞均来自于项目拥有者权限过大。在该类中心化治理机制中，项目拥有者得到了可以随时获利或者摧毁项目经济系统的权利。

CertiK安全研究团队建议Mercurity.finance更新项目中采用的治理系统，引入社区管理的机制。

CertiK在此提醒广大用户：

1.合约代码需要经过严格的安全验证和审计才可被允许公布。

2.投资者在投资采用中心化治理机制的项目时需衡量风险，谨慎投资。

欢迎搜索微信关注CertiK官方微信公众号，点击公众号底部对话框，留言免费获取咨询及报价！??

标签：EOSACTISSTRAEOSWINGallant Nactive Little SuperFission CashGTraX

AAVE热门资讯