TMT观察网_独特视角观察TMT行业

今天有媒體報道韓國國家級區塊鏈項目ICON（ICX）智能合約代碼被爆代碼存在安全漏洞。BCST區塊鏈安全研究所通過平臺的智能合約審計系統分析發現，還有一個智能合約YGGDRASH (YEED)也存在同樣的漏洞,該項目并且已經上了Huobi,Bilaxy,ForkDelta,Idex等交易所，目前已經不能正常轉賬交易了。

接下來我們一起看下兩個合約有漏洞的部分代碼截圖

---------ICON(ICX)的部分代碼----------

---------YGGDRASH (YEED)的部分代碼----------

對比可以看出，兩個合約都存在enableTokenTransfer，disableTokenTransfer方法，兩個方法都有onlyFromWallet權限判斷，

modifier onlyFromWallet {

        require(msg.sender != walletAddress);

        _;

}

按理這個方法是只有walletAddres可以調用，正確邏輯應該是msg.sender==walletAdress而不是不等于

查詢兩個合約的創建時間，ICX比YEED要更早創建，由此可以看出，YEED是直接拷貝了ICX的部分代碼，并且完全沒有經過審計流程就上了交易所。

我們建議，項目方立即對合約進行快照，并升級合約，發布新合約前找專業的團隊進行審計。

此次漏洞還是因為權限判斷問題，這個權限問題我們此前的文章里面都有提及過。幸運的是，這次漏洞影響的只有轉賬功能，沒有造成丟幣損失。但是，這么大一個項目，竟然出現這樣的漏洞問題，是項目方的疏忽？還是技術方面的失誤？值得我們深思。

最后，BCST區塊鏈安全研究所再次強烈建議，為了維護廣大投資者的利益，所有上交易所的項目合約應該經過嚴格審計流程，避免由于一時疏忽給項目給投資者造成無法挽回的損失。