crypto exchanges breek dienste oor kontrak foute
soos baie soos 'n dosyn of meer ethereum gebaseer erc 20 smart kontrakte het is gevind te bevat foute wat laat attackers maak soos baie tokens soos hulle wil
terwyl die foute eerste geïdentifiseer op april 22 en april 24 respectively in 'n paar van posts gepubliseer deur blockchain sekuriteit firma peckshield aren t vasgebind te die erc 20 standaard self die kwessies prompted 'n aantal van exchanges te suspend erc 20 tokens soos hulle ondersoek wat exchanges ingesluit okex poloniex changelly quoine en hitbtc
huobi pro separately aangekondig op april 25 wat dit moes opgeskort al coins maar het sedert beperk wat te erc 20 gebaseer tokens soos van pers tyd poloniex het verskuif te reinstate dienste vir erc 20 tokens
in 'n byvoorbeeld 'n attacker oorgedra 'n whopping 57 9 10 57 beautychain tokens soos getoon deur transaction data op etherscan op april 22 'n ontwikkeling wat prompted die aanvanklike ondersoek in die kwessie
ons studie toon wat so 'n oordrag kom uit 'n in die wilde aanval wat exploits 'n previously onbekend vulnerability in die kontrak vir elaboration ons roep hierdie name vulnerability batchoverflow peckshield s boodskap op die 22nd verduidelik ons punt uit wat batchoverflow is hoofsaaklik 'n klassieke integer overflow kwessie
die batchoverflow boodskap outlines hoe die batchtransfer funksie in 'n kontrak het 'n maksimum aantal van tokens wat kan wees gestuur in 'n transaction toe te voeg wat die waarde van die tokens word oorgedra moet wees minder as die totaal aantal van tokens wat was generated egter die waarde parameter 'n van die twee wat vas te stel die totaal aantal van tokens kan wees gemanipuleer wat sou dan verandering 'n ander variable resulting in 'n attacker word in staat te maak soos baie tokens soos hulle d soos
verder die attacker kan verbypad die barriers in die kontrak wat sou normaalweg te verseker wat 'n redelike aantal van tokens is word oorgedra
met bedrag zeroed 'n attacker kan dan slaag die sanity kontrole in lyne 258 259 en maak die subtraction in lyn 261 irrelevant die boodskap verduidelik noting
uiteindelik hier kom die interessante deel soos getoon in lyne 262 265 die balans van die twee receivers sou wees bygevoeg deur die baie groot waarde sonder costing 'n dime in die die attacker s sak
terwyl aanvanklike verslae indicated al erc 20 tokens kan wees impacted die batchtransfer funksie is nie deel van die verborge standaard
die middel boodskap het nie lys die kwesbare projekte al dit het nota wat die beautychain was die eerste projek hulle ontdek in 'n teken van die seriousness van wat fout okex gesê: op april 24 wat dit was rol terug trades op die beautychain verborge
die ruil ook aangekondig rondom wat tyd wat in lig van die foute dit was suspending desposits en withdrawals 'n projek genoem smartmesh handel weens te abnormal handel aktiwiteite peckshield kennis geneem wat hierdie was moontlik weens te die proxyoverflow fout wat soos batchoverflow is 'n klassieke integer overflow probleem sekere variables kan wees gemanipuleer te spontaneously generate groot amounts van tokens
'n twitter user kennis geneem wat 'n attacker geskep 5 octodecillion in smartmesh tokens
iemand oorgedra 65 133 050 195 990 400 000 000 000 000 000 000 000 000 000 000 000 000 000 000 891004451135422463
smartmesh tokens die moeite werd 5 712 591 867 014 630 000 000 000 000 000 000 000 000 000 000 000 000 000 000 00 te sy addresshttps t mede w72ealhxhi
cryptologist kadhirvelavan april 25 2018
soos 'n van die posts kennis geneem die gevaar daar bestaan wat iemand kan gebruik 'n kwesbare cryptocurrency te manipuleer pryse in hul gunste deur handel met bitcoin ether of 'n ander handel paar
representatives vir die beautychain en smartmesh projekte het nie onmiddellik reageer te versoeke vir kommentaar egter 'n verklaring op beautychain s webwerf acknowledges die fout en state wat handel sal hervat op 'n undetermined punt in die toekoms
similarly smartmesh aangekondig wat dit sou neem stappe te voorkom prys manipulation en gesê:
die smartmesh grondslag sal neem die equivalent bedrag van smt te die counterfeit bedrag en vernietig dit te maak up vir die verliese veroorsaak en hou die totaal toevoer van smt op die waarde van 3 141 592 653
fabian vogelsteller die developer wat eerste voorgestelde die erc 20 standaard vertel wat die foute net toon wat ons nodig 'n beter die beste practices en gereedskap te vra wat foute
nota hierdie artikel het is updated met 'n developer kommentaar en te verduidelik peckshield s rol in discovering die foute