關于DeFi流動性挖礦項目chick.finance惡意合約代碼的詳細分析_GDE:town幣吧

就在剛剛，YFII通報了chick.finance合約代碼的風險，不過其中提到的“用戶充值的所有代幣，開發者都有權限提取”這句話其實并不是完全準確的，因此在這里我們需要給大家做下更詳細的描述：

該合約惡意代碼的問題并不在于“開發者事發后能提取用戶存在合約中的代幣”，而在于對于任何給該合約授權了的用戶，開發者都能把你錢包里的代幣一掃而空，這正是比特派安全實驗室在之前的那篇《以太坊Defi生態當前最大的安全隱患》一文中提到的“濫用合約授權問題”。

Upbit發布關于EOS失誤操作復原服務公告:韓國虛擬貨幣交易所Upbit官網公告稱，提供在EOS contract 地址失誤操作兌換復原服務。此前無法提供此服務因EOS是基于ERC20的代幣，但此次EOS登陸主網，將與EOS開發團隊協力提供此服務。[2018/6/18]

惡意代碼是如下這段：

關于GDEX上線TOFA（方圖）的公告:GDEX于2018年4月19日下午14：00正式上線 GDEX.FOTA（方圖），用戶可在GDEX官網、鼓鼓錢包、比特股官方錢包等渠道進行充值、提現和交易。[2018/4/18]

functionstartReward(address_from,uint256amount)externalpub1ic{

幣安創始人回應關于幣安不再為中國大陸用戶提供服務事件:在今天下午，幣安宣布將不為大陸用戶提供服務，此消息一出導致幣圈議論紛紛，而幣安創始人趙長鵬也發布朋友圈回應下午幣安停止對中國用戶服務事件，趙長鵬在朋友圈中稱：“不用猜測，沒有消息。是嗅覺，也是尊重！”[2018/2/1]

????weth.safeTransferFrom(_from,owner(),amount);

??}

開發者對故意拼寫錯誤的pub1ic做了如下約束

modifierpub1ic(){

????require(isOwner(),"Ownable:callerisnottheowner");

????_;

??}

上述代碼的邏輯很簡單，干的就是那些給這個合約授權了的用戶，合約Owner都能把你的代幣轉給Owner，就這么簡單。

這其實是DeFi生態里非常嚴重的惡性事件，理應引起全行業的重視，因為這次可能惡意開發者只是用拼寫錯誤的方式來試圖蒙騙大家，然后很幸運的第一時間被發現了，那下次呢？是不是可以寫出邏輯復雜并且很難被看出來的漏洞，靜靜的等待上線把各位的錢包一掃而空呢？要再次強調的是，這個例子中，您損失的可不僅僅是您存入合約的資產，而是你錢包里的全部資產，明白了嗎？

我們之前在向全行業提出“濫用合約授權”問題的時候，就曾預計到可能會有開發者作惡的情況出現，沒想到這一天來的這么快，這次代碼偽裝的比較蠢，那下次呢？下次DeFi礦工們是否還能躲得過去了呢

Tags：OWNNEREOSGDEtown幣吧MoneroVEOST價格GDE價格

TUSD