CRE:Creat future惨遭随意转移币，幕后黑手究竟是谁？_TransferChain

前言

CF代币合约被发现存在漏洞，它允许任何人转移他人的CF余额。到目前为止，损失约为190万美元，而pancakeswap上CF/USDT交易对已经受到影响。知道创宇区块链安全实验室第一时间对本次事件深入跟踪并进行分析。

事件详情

Secret Network为SecretSwap增加私有治理:金色财经报道，面向隐私的Secret Network正在为其自动化做市商SecretSwap启动私有链上治理。治理工具的推出意味着SecretSwap的SEFI代币的持有者可以在默认私有的系统中投票。社区表示这将有助于“确保SecretSwap去中心化治理的完整性和主权”。[2021/7/28 1:19:29]

受影响的合约地址

Cream社区通过投票，正式支持合规稳定币HUSD:据悉，DeFi平台Cream Finance官方发布推文表示，通过公开的链上投票表决，Cream平台现已经正式宣布支持合规稳定币HUSD，用户可以在平台供应和借出HUSD。 在该份治理提案投票中，共计约4.56万个CREAM投向赞成票，反对票数为0。

Cream Finance 是一个开放包容的去中心化智能合约利率协议，目标是为尽可能多的用户和资产提供算法驱动的流动性。此前，YFI创始人Andre Cronje在Twitter发文表示，Yearn和Cream开发人员将合作推出Cream v2版本，将会专注于提供核心借贷和杠杆产品。

HUSD是由Stable Universal发行的合规稳定币,与美元1:1锚定。HUSD团队旨在将HUSD打造成为安全、合规、便捷的稳定币。[2020/12/3 22:57:30]

https://bscscan

动态 | Netflix前营销官Cliff Edwards加入数字资产借贷平台Cred担任首席营销官:据Businesswire消息，数字资产借贷平台Cred宣布资深技术执行官Cliff Edwards已加入该公司并担任首席营销官。Cliff曾在Netflix和Searchmetrics担任高级营销职务。[2019/10/30]

uint256fee=0;..

_transfer()函数是直接转移代币transfer()和授权转移代币transferFrom()的具体实现，但该函数的修饰器是public，因此任何人都可以不通过transfer()或transferFrom()函数直接调用它。而当变量useWhiteListSwith设置为False时，该函数不会检查调用地址和传输地址是否合规，直接将代币转移到指定地址。

在区块高度为16841993时，管理员就把useWhiteListSwith设置为False：

此时开始有攻击者利用_transfer()函数直接转移代币：

总结

经过完整分析，知道创宇区块链安全实验室明确了该次事件的源头由函数本身权限出现问题，而管理员同时操作不慎关闭了白名单检测，两方结合导致攻击者可以实现转移任意钱包代币的操作。

在核心函数上我们一直建议使用最小权限原则，像这次的_transfer()函数本不该用public修饰器，使得transferFrom()函数检查授权额度的功能形同虚设；而合约管理者也不该随意修改关键变量值，导致攻击者可以绕过白名单检查的最后一道防线。

合约不仅仅是代码层面的安全，不光需要白盒代码审计，更需要合约管理员共同合理维护。

标签：CREANSRANTRACRE8R币FIFA World Cup FansTransferChainethylenediaminetetraaceticacid

BNB热门资讯