暗夜臨近，DApp江湖上演現實版"狼人殺"_QUO:TRO

"狼人殺"游戲里有一個規則，"狼人"可以在黑夜隨意殺人，在白天還能通過口舌雄辯來逃避"平民"的指認，最終兩面三刀殺光所有的"平民"贏得勝利。這兩天，DApp江湖里就上演了一個真實版"狼人殺"。一家名為TronBankPro的資金盤DApp被黑客洗劫了2,673萬個TRX，項目投資者"平民"蒙受了近500萬元的財產損失。然而，究竟誰是"狼人"？眾說不一，社區開始了激烈的討論。目前為止，出現了三種看似合理的故事主線：項目方"監守自盜"，其合約代碼中留有"后門"。原因在于，項目方開源的代碼和實際執行的代碼并不一致，向合約發送0.011911TRX的withdraw()操作會觸發預留的后門，將合約余額全部取走。盡管TronBankPro發了公告否認了這種說法，但目前為止，為何會存在"后門"并沒有合理的解釋。項目方遭第三方驗證服務平臺TSC"算計"。根據區塊鏈安全公司PeckShield的深入分析，作為第三方服務平臺，TSC早在4月28日即項目合約上線前就發現了該"后門"，并且成功實施了攻擊測試。但黑客代號wojak的用戶目前并未發現和TSC有任何關聯，一時間事情真相又陷入撲朔迷離。但可以斷定，第三方服務平臺TSC很難跟此事撇清關系了。黑客上演了"螳螂捕蟬黃雀在后"的精彩大戲。存在一種可能，TSC一早就命中了"后門"，但礙于資金池尚未壯大起來遲遲沒有下手，然而躲在暗處的黑客wojak同樣發現了"后門"，且搶先一步實施了攻擊。吊詭的是，wojak竟然還在事后現身說法，承諾將退還被盜資金，不過，因為種種原因，wojak很快又表態拒絕歸還，并已消失不見。如此任性且可愛的黑客，并不多見。PeckShield數字資產追蹤平臺介入了Tron平臺上的這起重大『安全事故』，并追蹤還原了事情的來龍去脈，盡可能的通過技術分析幫助受害投資者"平民"找到真相。至于以下講述的是天災還是人禍，留給讀者自行判斷。背景

Web3基礎設施提供商Zeeve完成100萬美元戰略融資:8月10日消息，Web3基礎設施提供商Zeeve宣布獲得ExpertDojo VC提供的100萬美元戰略投資。

Zeeve提供企業級基礎設施和無代碼Web3基礎設施解決方案，目前支持45種區塊鏈協議，可以幫助傳統企業過渡到Web3生態系統并降低部署成本和時間。[2023/8/10 16:17:30]

朋友，你聽說過TronBankPro嗎？一種日收益固定1.8%-4.8%的區塊鏈投資產品，我們合約代碼開源，合約通過『知名』校驗機構tronsmartcontract.space(TSC)驗證與鏈上數據一致。雖然我們之前受到BTTBank假幣事件的攻擊，但我們是一個負責任的團隊，我們不會，跑路...小白投資者認為既然TronBank團隊之前發生過安全事件，想必這次應該會做好相應的合約審查工作，用戶從其官網上的確可以看到，這個團隊還是在『做事的』，相比其它未開源DApp來說，這個項目方竟然把源代碼都公布了出來，『還是值得信賴的』。不專業的TSC

由于缺乏官方的認證平臺，一些DApp開發者平著『向用戶負責』的態度，Tron平臺上大部分DApp合約使用了第三方平臺TSC的合約一致性校驗服務。PeckShield安全人員深入分析發現：TSC能幫DApp開發者驗證一些基礎安全保障，但TSC服務代碼自身尚不完備，不能保證校驗結果的可靠性。截止目前TSC審核通過的278個合約中，其合約源碼與Tron鏈上一致的僅為85個，不合格比例高達70%，如此高比例的不合格率，如何能獲得用戶和DApp開發者的認可？PeckShield安全人員和TSC開發者取得聯系之后，對方也坦言此項服務尚在建設初期，不能保障審計結果的可靠性。另外，Tron官方并未承認，也不建議社區采納和信任tronsmartcontract.space的驗證結果，見Tron孫老板的微博內容：搞鬼的TSC

鏈游Ascenders將于5月18日在Arbitrum上開啟NFT mint:5月8日消息，鏈游Ascenders: Simulation宣布將于 5 月 18 日在 Arbitrum 上開啟 NFT mint，Ascenders: Simulation是一款資源管理經營模擬網頁游戲，計劃于 6 月 8 日正式上線。

此前報道，2022 年 3 月 8 日，鏈游 Ascenders 完成 640 萬美元融資，三箭資本等領投。[2023/5/8 14:50:12]

PeckShield安全人員分析TSC官網，查找該站點是否存在被黑客攻擊的蛛絲馬跡，當訪問該站點『合約驗證』功能時，發現在這個關鍵時刻TSC出于某種原因關閉了。PeckShield安全人員與TSC維護者KhanhND69詢問相關事宜之后，對方表示之前的審計日志近期被刪除了，『合約驗證』功能關閉是由于當前在開發新版本的功能，這一舊功能已經下線。至于新功能何時上線，對方并未明確表示。至于TSC的說法是否合乎邏輯，動機是否單純，留待讀者自行品味。既然TSC只是一個『獨立』的代碼驗證平臺，那么他和這次TronBankPro被『盜』又有什么關系呢？通過GitHub上開源的后端驗證代碼：可以知曉，其驗證的流程如下：通過指定的合約地址從Tron鏈上獲取到合約的bytecodecreateByteCode;通過給定的合約源碼和編譯器版本編譯得到bytecodereCompileByteCode;根據reCompileByteCode長度獲取等長的createByteCode，然后按字節比較兩者的差異性；如果兩者差異的字節數<64，那么認為兩者是一致的，否則驗證失敗。上述的驗證流程簡單『實在』，小編對此次受『攻擊』的TronBankPro合約，即TSC開源的TW9AE7u5QADp2uej9xdaNVTYtqsRuJZNxJ源碼重新驗證，發現兩者無法匹配，差異非常之大，根本不可能滿足代碼中的條件。在此，小編認為TSC在此次『事故』中非常有可能不按套路出牌。另外，小編意外發現了以下幾個疑點：TW9AE7u5QADp2uej9xdaNVTYtqsRuJZNxJ合約驗證時間在北京時間2019-04-2822:51:32；而在同一天TSC將GitHub上面開源的所有已經驗證的合約的gitcommit歷史全部刪除了，號稱Dbbackup,刪除之后驗證的第一個合約就是TronBankPro的TW9AE7u5QADp2uej9xdaNVTYtqsRuJZNxJ合約，這怎么看都像是在搞事情：TSC#author頁面顯示，這一平臺的捐助者地址為TTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr：天黑了

當前以太坊Layer2上總鎖倉量為90.5億美元:金色財經報道，L2BEAT數據顯示，截至目前，以太坊Layer2上總鎖倉量為90.5億美元，近7日下跌4.88%。其中鎖倉量最高的為擴容方案Arbitrum One，約63.3億美元，占比66.71%，其次是Optimism，鎖倉量17.9億美元，占比19.81%，Dydx網絡總鎖倉量為3.37億美元，占比3.73%。[2023/5/7 14:47:29]

天黑了，所有人請閉眼，狼人出來殺人…仔細分析與TTX5N…這一地址有往來的其它地址信息，發現了一些比較有趣的故事，請聽小編慢慢道來。整個『事故』的時間線大體分為幾部分：準備期潛伏期收割期套現期看官，請看完整的故事情節：準備期

4.2817:35+UTC8TSC捐助者地址TTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr創建了合約bytecode與后面出事的TronBankPro幾乎完全一樣的TBPro合約，合約地址為TYZ4oPdPmwZS9xTUXhnFtQkPFFTi2iAydz，對應的交易哈希為b20242bbabfc357f4e6f5d31641d350670c7be1a6536eef1133f344a29972f53，試問當時TronBankPro合約并未上線，那么TSC如何知道一個并未上線的合約內容？4.2822:48+UTC8TronBank項目方部署TBPro合約，合約地址為TW9AE7u5QADp2uej9xdaNVTYtqsRuJZNxJ,交易哈希為267a8671989e5e0cf30cc9a32eb8a74cfb0c106209dd8ac462211687280419b5；根據tronsmartcontract.verify/TW9AE7u5QADp2uej9xdaNVTYtqsRuJZNxJ/info.jsonatmaster·TSC/tronsmartcontract.verify中指定的時間，我們知道TronBankPro部署的TBPro在4.2822:51+UTC8『驗證通過』；；4.2823:00+UTC8TTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr對TronBankPro部署的TW9AE7u5QADp2uej9xdaNVTYtqsRuJZNxJ合約發送withdraw()命令，并攜帶了0.011011TRX,對應的交易哈希為d6d89713ebdb98402ddfd1d454be394a5521c83b7d385ce2c394924a2b923c89。從區塊瀏覽器中可以看到，這一筆交易被REVERT，根據PeskShield安全人員分析認為原因是因為發送的withdraw()命令攜帶了TRX,這一點是可以理解的：withdraw()用于從合約中取回之前投資的TRX,這時攜帶了TRX過來的交易認為是『誤操作』，REVERT是合理的：潛伏期

Optimism第三季度治理基金贈款計劃將于1月26日開始:1月4日消息，以太坊二層擴容網絡Optimism第三季度治理基金贈款計劃將于1月26日開始，本季度建設者委員會與增長實驗委員會完全由社區成員和代表組成，旨在最大限度地增加Optimism網絡上開發者數量與Optimism網絡上應用程序的用戶數量。[2023/1/4 9:51:34]

等待著用戶投資蜂擁而至，合約資金池壯大。4.3010:12+UTC8TTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr對自己部署的TYZ4oPdPmwZS9xTUXhnFtQkPFFTi2iAydz合約同樣發送攜帶了0.011011TRX的withdraw()命令,對應的交易哈希為4b8dd07afa029126f16c192e8eb8a158f883e80a6be1eceaa432247bb06ef6ab，同上一個操作，這一筆交易被REVERT；4.3010:12+UTC8在稍后的幾個區塊中，TTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr對自己部署的TYZ4oPdPmwZS9xTUXhnFtQkPFFTi2iAydz合約同樣發送攜帶了0.011911TRX的withdraw()命令,對應的交易哈希為87bf173c126c4873ad333c02d4e352bacda9bfaae4d91d0bce156eb64bd5219f，而這一次卻成功了：這一次，不僅成功了，而且還從TYZ4oPdPmwZS9xTUXhnFtQkPFFTi2iAydz合約中轉了100.011911TRX到此次交易的發起方TTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr。到此為止，好像并沒有太多的故事發生，不過好戲才剛剛開始...收割期

馬尼托巴省停止新的加密采礦項目電力申請:金色財經報道，加拿大馬尼托巴省政府停止了加密采礦中心與該省水力電網的新連接。官員們解釋說，此舉可能會增加該地區可能無法滿足的能源需求。為期18個月的暫停將不會影響目前正在進行的37個采礦作業。馬尼托巴省財政部長、負責國有公司馬尼托巴水電的官員Cameron Friesen透露，17家新運營商已向該省當局提交了總計370兆瓦的電力申請。這超過了2022年投入使用的基耶斯克水電站發電量的一半。該地區的財政部長還強調了進步保守黨政府的擔憂，即區塊鏈企業可能無法創造很多就業機會。（news.bitcoin）[2022/12/1 21:15:39]

5.1假期總是那么地來去匆匆，在小編還在家帶娃的時間里，TronBankPro合約已經吸引了近1600+用戶近30,000,000TRX的投資：折合當前的市價為700,000美元。眼看就到了豐收期，可是05.0304:12+UTC8有一個稱號為wojak的黑客THeRTTCvN4SHEVYNqcLVLNGGVsWLR4smyH通過與TTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr在上面一致的操作半路截胡了，并成功『取回』2600W+TRX。至于wojak黑客到底是誰，目前無人知曉。具體的交易哈希如下：基于此，PeckShield安全人員認為TSCTTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr部署的TYZ4oPdPmwZS9xTUXhnFtQkPFFTi2iAydz合約與TronBankPro部署的TW9AE7u5QADp2uej9xdaNVTYtqsRuJZNxJ合約均存在后門，至于后門是如何被安插的，被誰安插的，還不得而知。PeckShield安全人員對TYZ4oPdPmwZS9xTUXhnFtQkPFFTi2iAydz和TW9AE7u5QADp2uej9xdaNVTYtqsRuJZNxJ合約逆向代碼之后，發現其中的withdraw()邏輯中存在下面一段代碼：不難看出，withdraw()根據msg.value即攜帶的TRX大小分為三種情況：0x2B03==msg.value16進制的0x2B03轉換成十進制之后為11011Sun(由于TRX==10^6Sun)，等價于0.011011TRX。這個值剛好就是上面TSCTTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr測試時攜帶的TRX值。這個分支下，并不改變狀態，交易輸出OK，并最后以REVERT退出，這一行為與上面交易的返回信息一致，PeckShield安全人員認為這個分支代碼是開發者故意留下的調試功能，以確認合約的邏輯是否符合預期。0x2E87==msg.value：16進制的0x2E87轉換成十進制之后為11911Sun(由于TRX==10^6Sun)，等價于0.011911TRX。這一值與TTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr以及THeRTTCvN4SHEVYNqcLVLNGGVsWLR4smyH調用的值是相等的。這一分支下，將本合約中所有的TRXbalance全部轉移到調用發起者，一點不剩。其它情況，正常的withdraw()取回操作。在此，PeckShield安全人員認為，上述的0.011011TRX以REVERT退回的『誤操作』實則是黑客進行攻擊之前的測試環節。套現期

黑客THeRTTCvN4SHEVYNqcLVLNGGVsWLR4smyH獲取2600W+TRX之后，開始分批次分步驟轉移資產：其中，截止北京時間2019-5-519:00共有1,4000,000TRX轉移至Binance交易所。天亮了

以上純技術的分析說明，充分驗證了兩點：第三方驗證服務平臺TSC并不專業，其服務過的大部分合約均存在合約源碼與Tron鏈上bytecode不一致的情況，證明TronBankPro項目方找TSC進行一致性校驗服務存在很大疏漏。第三方驗證服務平臺TSC很難避嫌，其早在TronBankPro項目上線前發現了合約漏洞，然而其并沒有督促項目方及時調整問題，而是反其道而行之實施了攻擊測試，而今項目合約遭到了攻擊，TSC又怎能置身事外呢？當然，即使PeckShield已經通過技術追蹤，將事情的來龍去脈還原至此，在區塊鏈的虛擬世界里，這場"狼人殺"大戲究竟誰是狼人，仍然難有定論。項目方在不對損害資金進行如數賠付之前，于情于理都難逃其責；第三方服務平臺TSC目前來看是最大的"鬼"，但其和項目方的關系真說得清嗎？至于那個任性又有些小情緒的黑客wojak究竟是真有其人，還是只是漩渦中一方的小馬甲，誰能道得明，說得清？校驗得了的是代碼，猜不透的是人性！PeckShield是面向全球頂尖的區塊鏈數據與安全服務提供商。商業與媒體合作，請通過Telegram、Twitter或郵件與我們聯系。

Tags：QUOTSCRONTROQuoll FinanceMTSC價格TronLink官方下載蘋果tronlink錢包官網地址

幣安app官方下載最新版