MIN:首發 | CertiK：DeFi項目Walletreum內部操作攻擊事件分析

馬克思曾在資本論中引用一句名言：“如果有10%的利潤,它就保證到處被使用；

有20%的利潤,它就活躍起來；

有50%的利潤,它就鋌而走險；

為了100%的利潤,它就敢踐踏一切人間法律；

有300%的利潤,它就敢犯任何罪行,甚至絞首的危險。”

對于區塊鏈來說，去中心化是一切的本質，更是區塊鏈世界和生態的標桿。

無論是什么形式的去中心化，它的本質實際上指的都是權力從頂層中心化機構到基層個體的下沉。

這個下沉趨勢隨著世界的發展不斷的惠及每一個個體。區塊鏈所言的“去中心化”同樣是隨著經濟和科技發展，迎合社會發展本質上的一類。鑄幣權便是其中之一。

LBANK藍貝殼于3月22日18:00首發 DORA，開放USDT交易:據官方公告，3月22日18:00，LBANK藍貝殼首發DORA(Dora Factory)，開放USDT交易，現已開放充值。

資料顯示，Dora Factory 是基于波卡的 DAO 即服務基礎設施，基于 Substrate 的開放、可編程的鏈上治理協議平臺，為新一代去中心化組織和開發者提供二次方投票、曲線拍賣、Bounty 激勵、跨鏈資產管理等可插拔的治理功能。同時，開發者可以向這個 DAO 即服務平臺提交新的治理模塊，并獲得持續的激勵。[2021/3/22 19:07:06]

這里的鑄幣權指的是將其下放至專業及安全的團隊或個體手中，通過健康的社區治理，達到實現區塊鏈領域愿景的目的。

動態 | 可信教育數字身份在廣州白云區首發 采用區塊鏈等技術:12月25日，可信教育數字身份(教育卡)廣東省應用試點首發儀式與應用研討在廣州市白云區舉行。

據介紹，可信教育數字身份融合采用國產密碼、區塊鏈等核心技術，創新簽發“云計算、邊緣計算、移動計算”網絡環境下的一體化數字身份，實現一體化密鑰管理，構建“可信教育身份鏈”。（中國新聞網）[2019/12/25]

然而如同早年間的鑄幣行為在傳統金融中屢禁不絕，區塊鏈領域內的惡意鑄幣行為也是無休無止。

一個項目其違背去中心化的本質，通過擁有者的極大權限進行惡意鑄幣，不僅僅損害了項目的良勢發展，更是損害了每一位投資者與項目支持者的切身利益。

首發 | 劉堯：百度區塊鏈推出天鏈平臺賦能鏈上業務:12月20日，由CSDN主辦的“2019中國區塊鏈開發者大會”12月20日在北京舉行。百度智能云區塊鏈產品負責人劉堯以《企業區塊鏈賦能產業創新落地》為主題進行了演講，他指出：2020年將是區塊鏈企業落地的元年，為了支持中國區塊鏈的產業落地，百度將區塊鏈進行平臺化戰略升級，依托百度智能云推出天鏈平臺，就是要賦能360行的鏈上業務創新落地。[2019/12/20]

北京時間11月16日，CertiK安全研究團隊發現DeFi項目Walletreum被項目團隊通過內部操作，惡意鑄造5億個WALT代幣。截止11月16日早5時，惡意鑄造的代幣量已約合近190萬人民幣。

首發 | 螞蟻礦機S17真機圖首次曝光 采用雙筒風扇及一體機設計 ?:繼正式宣布在4月9日現貨銷售后，比特大陸即將發布的新品螞蟻礦機S17又有了新動態。據悉，螞蟻礦機S17真機圖今天在網上首次曝光。

從曝光的圖片來看，螞蟻礦機S17延續上一代產品S15的雙筒風扇設計，且采用一體機的機身設計。有業內人士認為，采用雙筒設計可有效縮短風程，礦機出入風口的溫差變小，機器性能將得到很大改善。

此前比特大陸產品負責人在接受媒體采訪時表示，新品S17較上一代產品相比，無論是在能效比還是單位體積的算力等方面，均有較大提升。[2019/4/3]

CertiK安全研究團隊通過分析其智能合約代碼，發現其智能合約代碼中心化風險極高，存在安全隱患，項目擁有者擁有權限向任意地址鑄造任意數目的代幣。

完整技術分析如下：

攻擊詳情分析

項目擁有者地址：0xa5e552e3d643cc89f3b1ceccfd6f42c5c1aee775

圖一：內部操作攻擊交易信息

圖一是Walletreum項目中WALTToken智能合約被內部操作，鑄造額外5億個WALT代幣的交易信息。

該交易哈希值為0xc0f3b0576f18a714d78b822754489d4201c9e36fb0ce4b2f53a93217564710e5。

CertiK天網系統(Skynet)檢測到區塊1126401出現異常交易信息后，立刻向CertiK安全研究團隊發出警示。

CertiK安全研究團隊在對該項目智能合約進行快速分析后，認為該項目為當前一典型的由于智能合約高中心化而導致的攻擊。

圖二：WALTToken智能合約mint()函數

?圖二為遭受內部操作攻擊智能合約中被惡意調用的函數mint()。

從666行的代碼實現中可以看出，任何擁有minter權限、可以通過onlyMinter修飾符限制的外部調用者均可以調用該函數。

該函數的作用是通過667行代碼向任意賬戶鑄造任意數目的代幣。

通過圖三中619行onlyMinter修飾符的邏輯實現，以及615行構造函數中給與智能合約部署者minter權限的邏輯實現，智能合約部署者擁有了可以執行圖二中mint函數的權限。

圖三：onlyMinter修飾符以及給與項目管理者minter權限的構造函數

圖四：項目擁有者擁有minter權限

查詢項目擁有者是否擁有minter權限的結果如圖四所示。

至此，項目擁有者擁有執行mint函數的權利，最終惡意鑄造了5億個WALT代幣，致使項目投資者遭受損失。

安全建議

CertiK安全團隊通過研究認為，目前大多數DeFi項目中均存在類似于Walletreum項目的風險。

該類mint函數以及minter權限的實現表明了當前DeFi項目中項目擁有者權限過大，中心化風險較高。

這會導致內部操作等情況的發生完全依賴于項目擁有者個人或者團隊的“個人素質”與選擇。

CertiK團隊此前分析過同樣存在中心化風險的Mercurity.finance項目，而類似此次Walletreum項目被內部操作攻擊的情況以后想必也依舊會發生。

在此，CertiK團隊發出建議：

如要防范此類內部操作，應當注重提高社區治理的程度，并在項目實現上盡可能降低中心化權限，對任意重要操作均需要通過社區投票或者運用Timelock延時限制機制。

迄今為止，CertiK已為超過200名機構用戶提供了優質服務，保護了超過80億美元的數字資產與軟件系統免受安全損失。

Tags：INT區塊鏈MINMINTInternet Money區塊鏈域名的用途gemini住在哪里MINTME幣

中幣交易所