CertiK：Text.finance智能合約安全漏洞分析_ANC:Futurov Governance Token

北京時間11月12日，CertiK安全研究團隊發現DeFi項目text.finance智能合約代碼部分存在安全漏洞。分析之前，先考考大家的眼力，看看下圖里面的文字說了什么。

如果看不清，不妨點擊圖片后把屏幕亮度調至最高。有的時候，某些不想讓你看到的因素，正是通過排版或者這樣的方式，被刻意隱藏了起來。接下來說說該項目中存在的兩處漏洞。大家不妨在閱讀文章的時候注意一下圖中的位置。第一彈：項目擁有者可通過第一處漏洞，將指定數目代幣轉移到任意地址。第二彈：項目擁有者可通過第二處漏洞，將任意投資者的流動性池中的資產強制轉移到項目擁有者的地址中。漏洞分析

以太坊側鏈Gnosis Chain集成Balancer:3月23日消息，以太坊側鏈Gnosis Chain的生態系統團隊Gnosis Builders宣布集成DeFi協議Balancer。這一集成為Gnosis Chain帶來了深度流動性，并將允許用戶使用Balancer App和DeFi收益率助推器Aura等應用程序部署資金。

GnosisDAO與Karpatkey合作推動了集成，并將成為流動性池的第一個采用者。（PR Web）[2023/3/23 13:20:26]

textMiner.sol部署地址:https://etherscan.io/address/0x9858728de38c914c2ea32484a113b6628d984a82#code1.漏洞一項目擁有者在textMiner.sol智能合約1000行處實現了withUpdates()函數。該函數的的作用是可以將任意數量的為devaddr地址鑄造任意數量的代幣。而通過查看圖2中devaddr和項目擁有者owner的地址值，可以發現兩者相同，因此項目擁有者可以通過該漏洞為devaddr地址鑄造任意數目代幣。同時，當前的devaddr地址擁有者可以通過圖3的dev()函數將devaddr地址值更換到另外一個地址，因此最終項目擁有者可以更換將devaddr地址值更換的方法，向任意地址中鑄造任意數目代幣。雖然項目擁有者將圖1中的withUpdates()函數設置為不允許智能合約外部調用，但是卻有意地在圖4中919行實現了允許被外部調用的add()函數，然后通過921行代碼調用withUpdates()函數，從而實現向devaddr地址鑄造1000000000000000000000000000000數量代幣。

Balancer團隊將分配5萬枚BAL用于資助生態發展:AMM協議Balancer通過Batch#2決議，Balancer團隊將分配5萬枚BAL用于資助生態發展。作為新Batch的一部分，Balancer團隊將會在資助項目中增加新的元素。獎勵是團隊在任意時間想要資助的特定項目。[2020/11/19 21:18:19]

圖1：第1000行中的withUpdates()函數

Dai 供應接近歷史新高，6 月以來 Balancer Labs 流動資金已增長 5.3 倍:DTC Capital 投資者 Spencer Noon 發文闡述了 5 個跡象表明 DeFi 采用正在迅速發展。1）首先在 BTC 美元借貸利率上，DeFi 超過了 CeFi。CeFi 用戶已經開始使用 DeFi 協議（例如 MakerDAO）進行再融資。2）目前去中心化穩定幣 Dai 的供應接近歷史新高 1.23 億；3） TokenSets 在 5 月再平衡達到歷史新高，有價值約 4,700 萬美元的加密貨幣在鏈上完成交易；4）盡管自 4 月以來 Synthetix 解鎖了 1600 萬美元的 SNX 的通脹獎勵，總鎖定價值（TVL）仍持續上升，強烈表明該代幣模型是可行的；5）自 6 月 1 日起，Balancer Labs 流動資金從 600 萬美元增至 3200 萬美元，增長了 5.3 倍。5 個池的流動資金超過了 100 萬美元，有 30 個池至少持有 10 萬美元。該協議中有 2 個資金池進入自動作市平臺資金池的前 5 名。[2020/6/13]

圖2：devaddr地址以及項目擁有者owner地址

聲音 | Spencer Bogar：加入比特幣的機構只會越來越強大:據ccn消息，加密貨幣風險投資公司區塊鏈capital合伙人斯賓塞?鮑嘉(Spencer Bogart)表示，加入比特幣的機構只會越來越強大。

盡管比特幣市場的估值自今年1月達到8160億美元以來已經下跌了85%，但納斯達克(Nasdaq)、富達(Fidelity)、紐約證交所(NYSE)、Bakkt和一些大型金融機構的正逐漸進入這個領域，因而這家風險投資機構表示，支撐比特幣的基礎設施正在迅速加強。[2018/12/21]

圖3：dev()函數

圖4：add()函數2.漏洞二

圖5：emergencyWithdraw()函數項目擁有者可以通過調用圖5中emergencyWithdraw()函數，將某一個特定地址投資者的某一個流動性池中的流動性資產全部取出，并轉移到項目擁有者的地址中。該emergencyWithdraw()函數是一個基于正確的emergencyWithdraw()函數。因此就算審視合約者不惡意揣測，也很難說項目方不是惡意改寫，并添加了該漏洞。從下圖6的對比中可以發現，Sushiswap允許投資者通過調用emergencyWithdraw()函數，緊急取出屬于自己的流動性資產，而在text.finance中卻僅允許項目擁有者來調用該函數，同時允許項目擁有者取出屬于任何投資者的流動性資產。

圖6：text.finance和sushiswap項目中emergencyWithdraw()函數實現對比安全建議

CertiK安全研究團隊認為當投資者在對DeFi項目進行投資時，不僅需要對智能合約常見的代碼有所了解，更需要謹慎地審視具體代碼的實現邏輯。否則極易掉入類似該項目中的惡意漏洞陷阱當中。對于非技術背景的投資者，更需要了解項目是否經過嚴謹的技術審計。從Text.finance項目的惡意漏洞中可以看出，盲目投資一個沒有經過嚴格審計的項目，或引發極大風險，并造成難以估量的損失。CertiK是采用形式化驗證工具來證明智能合約可靠性的業內頂尖公司。公司內部審計專家將利用包括形式化驗證在內的多種軟件測試方法，結合一流的白帽黑客團隊提供專業滲透測試，從而確保項目從前端到智能合約整體的安全性。如你的項目需要保障，請發送郵件至bd.china@certik.org或直接后臺留言進行免費咨詢及報價。于此同時，CertiK的新產品預言機及快速掃描，也將為鏈上項目進行實時打分并且出具快速掃描分數。如果你需要查找某項目的信息及安全分數，請登錄CertiKFoundation官網的CertiKShield頁面進行瀏覽：https://shield.certik.foundation/歡迎搜索微信關注CertiK官方微信公眾號，點擊公眾號底部對話框，留言免費獲取咨詢及報價！

Tags：CERNCEANCADDcere幣價格Futurov Governance TokenSyrup FinanceDADDYDOGE幣

非小號