波场假币攻击全过程:BTTBank理财合约遭黑客假BTT攻击

04月11日凌晨00:17,PeckShield态势感知平台监测到TCX1Cay…开头的黑客,创建了名为BTTx,tokenid为1002278的TRC10token,并于凌晨00:25至01:00之间向多个地址转入4,000万个BTTx代币,这多个地址对TXHFhq…开头的BTTBank理财类合约实施攻击。BTTBank项目介绍

BTTBank又名TronBankBTT,是属于TronBank旗下的一款专属于BitTorrent(BTT)-ThetokenthatwillenableblockchainmassadoptionBTTtoken的投资产品,根据官网TronBank介绍:TronBankBTT的智能合约将为您产生每天3.6-6.6%的投资收益:

波场TRON被CryptoRank录入,DeFi总锁仓值达77.6亿美元:据官方消息,波场TRON被CryptoRank录入。波场TRON的DeFi总锁仓值(TVL)达77.6亿美元。

据悉,CryptoRank是全球最大的加密货币排名网站之一,汇集全球数字资产信息,收录全球数百家数字资产交易平台,提供多维度平台数据分析。[2021/7/13 0:48:07]

其理财过程大致如下:用户根据收益率和投资期限购买相应的理财产品;投资期限到期之后,用户提现理财产品到自己的钱包使用上,和当前的各类P2P理财产品类似,用户的使用门槛仅在于一个TRON钱包,但从产品收益率来看,这个资产回报率还是相当可观的。攻击回溯

攻击事件简述

去年年底,波场孙老板发起12号提议,即符合波场TRC10规范的Nativetoken的名字将不再唯一,涉及到TRC10token的转账等操作将使用ID来代替。这使得波场创建token的流程变得简单易上手,然而却带来一个潜在的威胁,一旦合约疏于检查tokenid的匹配性,就会存在假币攻击的可能。简而言之,本次BTTBank遭受攻击正是因为缺乏tokenid的一致性验证造成的。背景知识

波场TRON五币齐挖“世纪挖矿“目前BTC-TRX LP APY达1134.17%:据最新消息,波场TRON五币齐挖“世纪挖矿“已正式启动,目前BTC-TRX LP APY高达1134.17%。据悉,TRC20-BTC 由JUST基金会发行,是继TRC20-USDT 之后,波场(TRON)网络资产的又一力作。目前已经发行2万枚。

任何 BTC 持有者都可以参与 TRC20-BTC 的发行,目前 P 网(Poloniex)已支持 TRC20-BTC 兑换,知名数字资产交易平台库币(KuCoin)、MXC等交易所已经支持TRC20-BTC的充值与提现功能,区块链主流钱包 TokenPocket 已经支持TRC20-BTC的转账与收款。TRC20-BTC合约已由第三方代码审计公司慢雾科技进行审计。[2021/3/8 18:26:30]

TRON中的token分为几种规范:TRXTRC20TRC10其中,TRX为TRON的平台币,类似于Ethereum中的ETH。而TRC20是与EthereumERC20兼容的token,实质是一种可编程的智能合约,由用户通过智能合约创建token之后,其token的转账、发送等操作均在智能合约内部完成,对于一般的小白用户来说,ERC20/TRC20使用过于复杂,不便于上手使用。故此,TRON中引入了TRC10token,这是一种可以由用户直接操控的token,每一个自然用户支付1024TRX便可创建一个TRC10token,同时一个用户只能创建一个TRC10token。每一个TRC10token在创建之后,由系统分配一个唯一ID,这是一个从1,000,001开始往后自增的整数,一个tokenId标识一个唯一的token,当前TRON平台上共有1850+个TRC10。为了提高TRC10的流动性和使用价值,TRON平台在Odyssey3.2版本之后,使能了在智能合约内部转账TRC10token的功能,参考TRC10TransferinSmartContracts,其示例代码如下所示:

波场TRON基金会:关于OKEx平台TRX无上限刚性兑付提现的第一批最新进展:据官方最新消息,昨日的OKEx平台TRX无上限刚性兑付提现的决定获得了大家的热烈支持,波场基金会将向大家同步该兑付提现方案的最新进程,目前已经帮助16位OKEx用户完成兑付提现,波场基金会已将TRX 1:1打入用户指定钱包地址当中,共9419739.963519TRX,根据截止发稿时间TRX在CMC的价格,总共折合为247268.174美金。为了加快兑付速度,除account17@tronlab.cn外,波场基金会新增一个内部转账地址账户:tronaccount@futuremail.pro,以帮助用户快速完成OK-TRX的兑付!(请勿向OKEx的转账账户发送邮件,该邮箱只作为转账账户,验证请按流程发送短信)。波场基金会一直秉持着“让互联网重新去中心化”的初心,用实际行动来推进这个行业的发展。此外,波场和OKEx也在第一时间取得了沟通,正在协商如何能更有效地保护用户资产,会尽快开启转账充值。[2020/10/21]

上述代码简单解释如下:transferTokenTest()接口内部用于转账TRC10token,接口调用方可以通过address.transferToken(uint256tokenValue,trcTokentokenId)往address转账数量为tokenValue的tokenid为tokenid的TRC10token;msgTokenValueAndTokenIdTest()接口表明,调用者可以直接在发送的message中加入tokenid和tokenvalue字段,这也说明了TRC10是TRON平台上的一等公民,属于内置类型,与TRC20通过函数参数的形式来表征token价值是完全不同的;getTokenBalanceTest()通过tokenid获取账号的余额。由此可知,TRC10token可以在智能合约内部通过tokenid完成转账,TRC10token作为价值承载者,在智能合约内部即反映在tokenid的差异上。因此,合约开发者在处理TRC10转账相关逻辑时,需要特别注意tokenId的有效性和真实性。攻击事件

波场TRON官方发布SUN创世挖矿注意事项:据波场TRON官方最新消息显示,SUN创世挖矿将于今晚公布合约地址,由于社群异常火爆,现特做以下提醒,请大家务必仔细观看以避免财产损失。1. 目前官方没有出任何挖矿教程,请一切以官方公布信息为准;2. 请不要在交易所直接向合约地址转账,建议可以用TronLink等钱包,以避免挖到的SUN无法提出;3. 目前SUN还没有发行,市面上已经出现的SUN都为假币;4. 请大家时刻关注SUN.Market,合约地址会在官网公布;5. 合约地址以官方发布的信息为准,可能会出现不法分子以自己的钱包地址冒充合约地址,请大家仔细甄别,避免财产损失;6. 官方的客服号为:*TRX大户群:TRON888888 * 波场TRON(牛牛)等,其他一律为冒充账号,请大家不要相信。[2020/9/2]

PeckShield安全人员在分析BTTBank合约时,发现其合约源码实现中存在致命漏洞,可导致项目方资金受损。下图为黑客攻击的原过程:

公告 | BTT针对持有波场TRX用户12月份空投已发放完毕:据官方最新消息,BitTorrent(BTT)针对持有波场TRON(TRX)用户12月份空投已经发放完毕,所有波场TRON主网以及SUN Network主网中拥有TRX的地址均可获得对应比例空投的BTT,无需进行任何操作,无论冻结与非冻结皆可获得空投。按照计划,本次空投的快照于UTC 2019年12月11日凌晨0点0分0秒完成。区块高度 #15257736 的时间戳1576022400000,正好为计划时间点。在快照时,TRX总量为99565808265.05255。因此最终的空投比例为 TRX/BTT=100.57152350005308。从TRX阈值来看,只有账户余额大于等于100TRX的账户在此次空投获得BTT。[2019/12/11]

黑客先行创建一个名为BTTx的TRC10token;黑客往一批自己控制的账号中转入4,000万个BTTxtoken;通过控制的账号往BTTBank合约发起数次攻击;最后顺序将BTT提取到控制的账号中。下文从BTTBank投资及赎回的过程还原本次BTT假币攻击的全过程。投资投资的核心代码如下:

public接口的invest()提取msg.tokenvalue,并调用private的_invest()函数完成投资的过程,_invest()内部计算并保存用户这一次的投资数量、时间等信息到合约的内部资产账单上。值得注意的是,这里invest()只提取了msg.tokenvalue,这里并没有提取msg.tokenid,也没有验证msg.tokenid是否属于BTTToken的tokenid(为1002000)。前面我们提到BTTBank是一款投资理财类DApp,用户存入BTTtoken,资产到期之后,再赎回投资的BTT和对应的利息,在这里并没有检查是否是真正的BTT,也就是不论你投资的阿猫阿狗币,都被认为是BTTtoken。提现

提现的核心代码如下:

赎回的过程比较简单,先从合约的内部投资账单上计算用户已经到期的投资金额,并将这一部分投资金额转回给用户,注意:msg.sender.transferToken(withdrawalAmount,BTT_ID)中是固定的BTT_ID即1002000.至此,用户投入BTT,收获BTT;而黑客投入BTTx,收获BTT,一个完美的『狸猫换太子』过程。防御策略

PeckShield安全人员在此提醒广大开发者,虽然TRC10/TRC20都是token,但两者在TRON平台上有着本质的差异性,若要在智能合约内部转账TRC10,一定要检查所转移的TRC10对应的tokenid是否为预期值。针对上例,可将投资代码增强如下:

另外,PeckShield安全人员根据上述的代码样式分析TRON平台上其它类BTTBank合约时,也发现了相似的问题。在此,PeckShield安全人员提醒在进行智能合约开发的时候,虽然复用现有代码可能会带来开发功能上面的便利,但也须注意可能带来的安全风险。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

银河链

FIL2019 Q1挖矿行业报告

政策趋严之下“挖矿”还是门好生意吗?功率限定的情况下哪家矿机回本快?云算力挖矿和直接购买通证哪个划算?熊市挖矿如何对冲风险?主流通证挖矿难度将如何增长?敬请阅读TokenInsight《2019Q1挖矿行业报告》.

FIL币双面平台币

编者按:本文来自链捕手,作者龚荃宇,Odaily星球日报经授权转载。近期,交易所平台币再起波澜,大批平台币迎来近半年最为可观的涨势,HT、BNB、OKB、BIX等主流平台币均较一个月前上涨100%以上.

[0:0ms0-2:572ms