ATOR:首发 | Sushiswap智能合约安全漏洞事件分析

北京时间8月28日，CertiK安全研究团队发现sushiswap项目智能合约中存在多个安全漏洞，该漏洞可能被智能合约拥有者利用，允许拥有者进行包括将智能合约账户内的代币在没有授权的情况下取空等操作在内的任意操作。同时该项目智能合约还存在严重的重入攻击漏洞，会导致潜在攻击者的恶意代码被执行多次。

技术步骤：

MasterChief.sol:131https://github.com/sushiswap/sushiswap/blob/master/contracts/MasterChef.sol

首发 | 区块链技术及软件安全实战基地正式成立:金色财经报道，今日，中软协区块链分会、人民大学、菏泽市局相关部门联合共建的区块链技术及软件安全实战基地正式成立。同时聘任中软协区块链分会副秘书长宋爱陆为区块链技术及软件安全实战基地特别专家。

区块链技术及软件安全实战基地主要涉及领域为：非法数字货币交易与、区块链与电信、网络、四方支付、冒用商标注册等，联合社会治理、城市安全、前沿技术领域的行业专家，进行警协合作。

据公开报道，近期菏泽市下属机关刚破获一起特大电信网络案，打掉多个涉嫌以网贷和投资“比特币”为名的团伙，抓获犯罪嫌疑人83名，扣押冻结涉案资金2700万元。[2020/7/21]

在sushiswap项目智能合约的MasterChief.sol智能合约的131行中，智能合约的拥有者可以有权限来设定上图中migrator变量的值，该值的设定可以决定由哪一个migrator合约的代码来进行后面的操作。

首发 | 《一起来捉妖》中玩家达到22级将会接触到专属猫的玩法 ?:今日腾讯上线首款区块链游戏《一起来捉妖》，经金色财经查证，游戏中玩家达到22级将会接触到专属猫的玩法，而非此前官方对外宣称的15级。除了诱猫铃铛召唤出的0代猫以及部分通过运营活动奖励的专属猫以外，游戏中所有的猫默认都是未上链状态。未上链的猫不能出售，也无法进入市场与其他玩家配对；但是你可以使用这些猫与你的QQ/微信好友进行配对，产出新的小猫。使用道具“天书笔”可以将你的猫记录到区块链。当猫被记录到区块链以后，这些猫就可以进入市场，通过配对赚取点券，或者出售赚取点券。专属猫是否上链，并不影响它的增益效果。但只有上链后，它才能面对全服务器所有的玩家进行繁殖、交易。

?

《一起来捉妖》中的专属猫玩法，基于腾讯区块链技术，游戏中的虚拟数字资产得到有效保护。此外，基于腾讯区块链技术，猫也可以自由繁殖，并且运用区块链技术存储、永不消失。[2019/4/11]

MasterChief.sol:136https://github.com/sushiswap/sushiswap/blob/master/contracts/MasterChef.sol

首发 | 百度推动246家博物馆线上藏品上链:金色财经讯，近日，百度超级链联合百度百科，基于区块链技术创建 “文博艺术链”，推动百科博物馆计划中的246家博物馆线上藏品上链。基于“文博艺术链”，百度将与博物馆共同推动线上藏品版权的确权与维护，同时探索线上藏品版权数字化交易方式，为合作的博物馆提供更全面的服务和更多的权益。据介绍，此项目将分阶段进行，一期将完成线上藏品的入链确权，为每一件藏品生产专属的版权存证证书。让每一名用户可以在百度百科博物馆计划的PC端和WAP端的藏品页查看证书。后续，百度还将推动AI与区块链技术在文博领域的结合应用，用来保障上链数据与藏品相匹配，为后续进行藏品图像版权数字化交易奠定基础。[2019/1/30]

当migrator的值被确定之后，上图中142行的代码，migrator.migrate(lpToken)也就被随之确定，由migrate的方法是通过IMigratorChef的接口来进行调用的，因此在调用的时候，migrate的方法中的逻辑代码会根据migrator值的不同而变化。

简而言之，如果智能合约拥有者将migrator的值指向一个包含恶意migrate方法代码的智能合约，那么该拥有者可以进行任何其想进行的恶意操作，甚至可能取空所有的账户内的代币。

同时，在上图142行中执行结束migrator.migrate(lpToken)这一行代码后，智能合约拥有者也可以利用重入攻击漏洞，再次重新执行从136行开始的migrate方法或者其他智能合约方法，进行恶意操作。?

当前sushiswap项目创建者表示已经将该项目加入了时间锁定合约的显示，即任意sushiswap项目智能合约拥有者的操作会有48小时的延迟锁定。

该漏洞的启示：

智能合约拥有者不应该拥有无限的权利，必须通过社区监管(governance)来限制智能合约拥有者并确保其不会利用自身优势进行恶意操作；

智能合约代码需要经过严格的安全验证和检查之后，才能够被允许公布。

标签：区块链RATATORSHI区块链专业学什么课程KARATE币GATOR价格Magic Shiba Starter

芝麻开门交易所热门资讯