TMT观察网_独特视角观察TMT行业

最近區(qū)塊鏈的世界，除了層出不窮的大佬撕逼以外，最為受人關(guān)注的就是安全問題了。當(dāng)前數(shù)字貨幣市場上，超過90%智能合約使用ERC20標(biāo)準(zhǔn)，毫無疑問，ERC20標(biāo)準(zhǔn)已經(jīng)成為了各種交易所、錢包以及項目方共同遵循的規(guī)范。ArmorsLabs 的智能合約掃描系統(tǒng)（IDS） 在分析了以太坊上超過10000份ERC20智能合約后發(fā)現(xiàn)，ERC20標(biāo)準(zhǔn)的approve方法存在巨大安全漏洞，會導(dǎo)致代幣出現(xiàn)被向量攻擊的風(fēng)險。Armors團隊經(jīng)過市場統(tǒng)計發(fā)現(xiàn)，目前已上交易所的數(shù)字貨幣中至少有超過60%的幣種，在智能合約中使用了存在該漏洞的代碼。

Armors團隊自2017年10月以來，一直致力于智能合約的生態(tài)建設(shè)及漏洞分析。下面我們給大家公布ArmorsLabs最近發(fā)現(xiàn)并命名的“jaeden”漏洞。該漏洞是迄今為止ERC20涉及面最廣的整體性漏洞。

下面我們來給大家分析下該漏洞：

ERC20提到的標(biāo)準(zhǔn)接口：

Approve和transferFrom在歷史上是為了 Decentralized Exchange 設(shè)計的。

用戶可以通過approve函數(shù)授權(quán)第三方帳戶為其管理指定額度的代幣。

以太坊官方ERC20 Demo中，approve函數(shù)的代碼存在向量攻擊漏洞。簡單描述下就是甲方授權(quán)乙方管理自己的數(shù)字貨幣，如果甲方想更改乙方的權(quán)限，乙方可以提前轉(zhuǎn)走被授權(quán)的貨幣，然后還可以再一次收取新授權(quán)的貨幣，從而致使甲方多次轉(zhuǎn)賬，造成數(shù)字財產(chǎn)的損失。

這種授權(quán)方式在去中心化交易所、第三方支付和量化基金管理上，被大范圍使用。

在數(shù)字貨幣世界里，在沒有現(xiàn)實等價物、線下交易契約和法律約束的情況下，智能合約就是法律——Code is Law！當(dāng)Code 出問題時，也就是Law出了問題，轉(zhuǎn)賬欺詐可能帶來的這個風(fēng)險則根本無法回滾，一經(jīng)生效不可變更！這種有漏洞授權(quán)機制會帶來價值幾十億甚至幾百億美元的數(shù)字資產(chǎn)存在安全危機。

該漏洞作為以太坊標(biāo)準(zhǔn)導(dǎo)致的重大安全隱患，已經(jīng)被Armors命名為“jaeden”，并且已經(jīng)提交到cve平臺。除此漏洞外，Armors漏洞分析師還發(fā)現(xiàn)了該幣存在更多漏洞，比如：

該合約沒有對零地址轉(zhuǎn)賬進行攔截，引起的后果是：一旦有惡意莊家試圖進行控盤，將大量代幣打入零地址，即可造成該代幣經(jīng)濟體系紊亂。

ArmorsLabs 從為每一位數(shù)字貨幣投資者負(fù)責(zé)的角度出發(fā)，建議各交易所及項目方引入更多更有經(jīng)驗的審計合作伙伴，重新review自己的智能合約代碼。一旦發(fā)現(xiàn)問題，及早尋求解決方案，以免造成不可挽回的損失。