区块链:独家 | 灵踪安全：Pinecone被攻击事件分析_INE

本文由“灵踪安全”原创，授权“金色财经”独家发布。

8月19日，BSC上的收益聚合项目PineconeFinance的保险库受到黑客攻击，损失约350万没PCT代币。

截至写稿时为止，项目方已经针对此次攻击中受损的用户发布了补偿计划：项目团队及投资人共持有491万枚代币，将用所有代币补偿用户。

尽管此次攻击受损的金额相对近期动辄千万、上亿美元的金额不算太大，但这起攻击事件还是给我们留下了值得吸取的经验和教训。

这次攻击出现漏洞的地方在于转账过程使用的代币有损耗，而合约对这个损耗没有处理好于是就导致漏洞出现从而被黑客攻击。

在正常状况下，用户之间转账代币的时候，如果代币在转账过程中没有损耗，处理起来是比较简单的。但如果某些代币在转账过程中会出现损耗，则处理这类代币的转账就要非常小心了。

在Pinecone项目中，其代币PCT是作为资金池的质押代币，在其合约设计的代币转账过程中会有手续费的损耗。而项目将这个损耗计入了用户的份额中，于是用户份额和质押的PCT总额就会出现偏差。这个偏差就能被攻击者用来领取多余的奖励。

独家 | Bakkt期货合约数据一览:金色财经报道，Bakkt Volume Bot数据显示，2月17日，Bakkt比特币月度期货合约单日交易额为2384万美元，环比上升33%；未平仓合约量为1823万美元，环比下降2%。[2020/2/18]

具体而言，本次攻击存在漏洞的合约有：

PineconeFarm合约，其地址为：

0x4099f27fb72788b7bb5cb64e3d2b865eb82d0f8f

farm合约使用的策略合约IPineconeStrategy，其地址为：

0x1e542DB46eb87cc8E5fA8e1856eC53F89dc4bC89

PCT代币合约，其地址为：

0x6019384a802310117a6E889e7021d2d0A144fE50

漏洞涉及的相关代码片段为：

独家 | Bakkt期货合约数据一览:金色财经报道，Bakkt Volume Bot数据显示，2月10日，Bakkt比特币月度期货合约单日交易额为1542万美元，环比上升36%；未平仓合约量为1527万美元，环比下降3%。[2020/2/11]

PineconeToke的_transfer()函数：

在这里，PineconeToken的transferFrom的调用了_transfer()函数，在_transfer()中用户转账会收取手续费，因而实际到账的金额比transferFrom传入的amount值要小。

PineconeFarm合约的deposit()函数：

独家 | 田大超：区块链技术为普通创业者带来弯道超车的机会:近期，公私链、区块链技术地位、区块链如何赋能实体经济等相关问题都比较热。巨杉资本创始人田大超在接受金色财经独家专访时表示：首先，从应用层面而言，区块链技术整体还非常不成熟。其次，公链确实存在中心化的问题，但公链也不一定要完全做到去中心化，因为没有中心化的带动，公链的效率就不会提高。而绝对的中心化又存在不信任的问题，违背了区块链精神，因此这其中需要其他因素的协调。未来的公链应该类似于议会制，每一个节点都应该经过民意选举产生，并希望能以此解决公平公正的问题。同时，公链中的节点并不是固定的，对于新产生节点的优化也将加强公平性，且有限的节点也将能帮助提高整个区块链网络的决策效率。

目前，区块链技术的热度和关注度已经超过了人工智能和大数据等产业，但从技术层面而言还相差甚远。

区块链行业的确为普通创业者们带来了一次弯道超车的机会：企业们正在争相测试和尝试区块链技术，其中甚至已经有大量的传统企业已经在尝试区块链技术应用，且这项新技术在金融领域取得了一定的成效。但在赋能实体产业的过程中，还需要多方的共同努力：首先，政府要为那些真正具备创新精神和创新能力的企业提供鼓励和支持；其次，要尽快解决区块链人才瓶颈问题；最后，区块链技术本身还不够成熟，我们应该给整个产业更多的时间和耐心。[2018/7/17]

独家 林吓洪：除去炒币人群 区块链预测真实参与用户数极少:在世界杯火爆之际，区块链世界杯概念板遇冷。对此菩提创始人林吓洪在接受金色财经独家采访时表示，世界杯概念板的名称其实是个伪命题，在区块链行业早期定义“概念板”过早。现在确实有很多项目是冲着世界杯预测发起的，但目前基于区块链的预测市场并没有太多的优势。

基于内容方向的区块链预测项目无法与传统的预测市场进行pk，首先是用户体验无法契合与匹配。基于数字货币的竞猜与预测相对于使用法币进行竞猜和预测门槛提高了很多，投资者并不愿意接受来自数字货币波动性造成的风险。尤其是整体市场处于熊市，数字货币在此刻参与竞猜的可用性下降，有可能会损害投资者收益。此外，行业中还有很多项目的结果设置是中心化的，一旦出错由项目方进行纠正，这与传统的玩法并无不同，并且目前也没有区别于传统玩法的创新。

至于平台方面，仍存在预测竞猜周期长、需要缴纳链上竞猜手续费，全节点客户端同步下载耗时长等问题。这就造成用户和产品之间离得太远，沟壑太大。以菩提为例，目前菩提上线了量子链的主链，虽然进度已经处于行业领先地位，但我们也要承认不足，仲裁结果需要48小时，用户同步全节点的客户端时间长，可以说目前的平台仍旧比较原始，可能像10年前的互联网，真正有耐心去参与并使用的用户很少，可能只有100—200的用户参与竞猜。

目前市场上很多项目并没有落地，世界杯概念板块可能更多的在炒概念，同时很多投资者无心细究项目发展情况，很多踏踏实实做事的与炒概念会被一概而论，由此造成多个项目一起下跌。市场也存在这样的心理，认为世界杯来了，相关的币就要上涨。我认为这是一个幻觉，大家对行业的期望很高，忽略了行业发展存在基础设施不全面，真实用户基数小等不足，这都需要时间的积累。但我看好行业未来的突破发展，预测市场与区块链的结合绝对是大有可为的，只是很多人并不知道区块链之于预算市场到底意味着什么，到底能在哪些方面有所突破。[2018/6/22]

在上述代码中，PineconeFarm将存入的PCT质押到IPineconeStrategy合约中获取收益。通过使用BSC的vm?trace工具，可以发现这个IPineconeStrategy是一个VaultRabbitCake合约。PineconeFarm对用户份额share的计算会用到_wantAmt。而这个_wantAmt和下面的函数片段又有关联。

金色独家 浮点资本CEO郑虎：区块链分四个层次:金色财经独家专访，本次金色财经对浮点资本CEO郑虎进行了采访，针对区块链行业，郑虎认为：“整个区块链分四个层次，第一个层次是价值储存，类似于比特币和BCH，可以进行一些大的资产转移；第二层次为智能合约，类似于ETH、ADA，EOS等，另外很多智能合约项目已经发展了多年，该领域未来可能会有黑马涌现；第三个层次是身份认证，这是实现现实世界和虚拟世界的一个关键连接点，数据上链如何保证增值性和有效性是重点，下一个热点可能会这个领域出现；第四个层面是DAPP，这是整个区块链最璀璨的一层，目前行业发展还未达到这一步，还需要时间发展。”[2018/6/13]

策略合约的deposit()函数

从上述代码可以看出，在计算sharesAdded时，其分母是wantTotal，而wantTotal依赖balance()。balance是关联的总锁仓PCT余额。由于实际的PCT余额小于deposit传入的金额_wantAmt，这就会造成用户份额在计算时增加了。

最后，当攻击者调用withdraw函数时，只要输入比deposit值大的参数就可以赎回超过质押数的PCT代币。

按照这个机制，黑客在攻击时，可以重复重复调用deposit和withdraw功能，从而导致合约质押的PCT损耗不断增加、资金池持有的PCT余额不断变小。然后在计算奖励时，由于使用资金池中的余额作为分母，而分母越小，则可额外领取的奖励就越多。

了解了代码的漏洞及相关机制后，我们再来看黑客诸多攻击中的一次攻击：

这次攻击中，黑客的地址为：0xfc6682db7e9f57882e8b18ebc9adc7a19f770494，其交易流程如下：

可以看出第一笔交易0xe446f质押了8.1万PCT，然后在0x76d33提取奖励时却提取了16万PCT。

我们继续查看withdraw交易的参数，可以看出传入amount值为22603495a2af5d0ccc34，将其转换为10进制数就是16万，远超质押金额8.1万。详细细节如下图所示：

从这次攻击的漏洞原因看，在转账时有损耗的代币在参与收益类项目时，存在较多的问题。因此灵踪安全提醒项目方要充分考虑损耗对收益计算的影响。

对此类问题，灵踪安全一直以来都会在审计时特别和项目方强调。另外我们也再次强调审计在项目中的重要性，希望项目方在项目上线前充分做好审计工作。

关于灵踪安全：

灵踪安全科技有限公司是一家专注区块链生态安全的公司。灵踪安全科技主要通过“代码风险检测+逻辑风险检测“的一体化综合方案服务了诸多新兴知名项目。公司成立于2021年01月，团队由一支拥有丰富智能合约编程经验及网络安全经验的团队创建。

团队成员参与发起并提交了以太坊领域的多项标准草案，包括ERC-1646、ERC-2569、ERC-2794，其中ERC-2569被以太坊团队正式收入。

团队参与了多项以太坊项目的发起及构建，包括区块链平台、DAO组织、链上数据存储、去中心化交易所等项目，并参与了多个项目的安全审计工作，在此基础上基于团队丰富的经验构建了完善的漏洞追踪及安全防范系统。

作者：

灵踪安全CEO谭粤飞

美国弗吉尼亚理工大学(VirginiaTech,Blacksburg,VA,USA)工业工程硕士(Master)。曾任美国硅谷半导体公司AIBTInc软件工程师，负责底层控制系统的开发、设备制程的程序实现、算法的设计，并负责与台积电的全面技术对接和交流。自2011至今，从事嵌入式，互联网及区块链技术的研究，深圳大学创业学院《区块链概论》课程教师，中山大学区块链与智能中心客座研究员，广东省金融创新研究会常务理事?。个人拥有4项区块链相关专利、3本出版著作。

标签：区块链PCTCONEINE区块链币排名SPCT价格BTCONE币bitfinex

Gateio热门资讯