您正在使用IE低版浏览器,为了您的雷锋网账号安全和更好的产品体验,强烈建议使用更快更安全的浏览器
此为临时链接,仅用于文章预览,将在时失效
政企安全 正文
发私信给李勤
发送

0

Armors 团队称“ERC20 现史上涉及面最广的重大漏洞”

本文作者:李勤 2018-06-16 16:37
导语:ArmorsLabs 最近发现并命名了“jaeden”漏洞,该漏洞是迄今为止 ERC20 涉及面最广的整体性漏洞。

雷锋网(公众号:雷锋网)消息,6 月 15 日,据微信公众号“ ArmorsLabs ”称,ArmorsLabs 最近发现并命名了“jaeden”漏洞,该漏洞是迄今为止 ERC20 涉及面最广的整体性漏洞。

我们来看看“ ArmorsLabs ”给出的分析详情:

ArmorsLabs 的智能合约扫描系统(IDS) 在分析了以太坊上超过 10000 份 ERC20 智能合约后发现,ERC20 标准的 approve 方法存在巨大安全漏洞,会导致代币出现被向量攻击的风险。Armors 称,其团队经过市场统计发现,目前已上交易所的数字货币中至少有超过 60% 的币种,在智能合约中使用了存在该漏洞的代码。

Approve 和 transferFrom 在历史上是为了 Decentralized Exchange 设计的,用户可以通过 approve函数授权第三方帐户为其管理指定额度的代币。

以太坊官方ERC20 Demo中,approve函数的代码存在向量攻击漏洞。简单描述下就是甲方授权乙方管理自己的数字货币,如果甲方想更改乙方的权限,乙方可以提前转走被授权的货币,然后还可以再一次收取新授权的货币,从而致使甲方多次转账,造成数字财产的损失。

这种授权方式在去中心化交易所、第三方支付和量化基金管理上,被大范围使用。 

在数字货币世界里,在没有现实等价物、线下交易契约和法律约束的情况下,智能合约就是法律——Code is Law!当Code 出问题时,也就是 Law出了问题,转账欺诈可能带来的这个风险则根本无法回滚,一经生效不可变更!这种有漏洞授权机制会带来价值几十亿甚至几百亿美元的数字资产存在安全危机。

该漏洞作为以太坊标准导致的重大安全隐患,已经被Armors命名为“jaeden”,并且已经提交到cve平台,Armors及其他一些世界领先的安全合约代码库已经提供了解决此问题的安全代码。但是,Armors发现一些刚上线的币,还存在此种漏洞。除此漏洞外,Armors漏洞分析师还发现了更多其他漏洞,比如:

Armors 团队称“ERC20 现史上涉及面最广的重大漏洞”

Armors 团队称“ERC20 现史上涉及面最广的重大漏洞”

该合约没有对零地址转账进行拦截,引起的后果是:一旦有恶意庄家试图进行控盘,将大量代币打入零地址,即可造成该代币经济体系紊乱。

雷锋网了解到,Armors 区块链安全实验室成立于 2017 年 7 月,是DKB FUND基金首批孵化的项目。Armors Labs 是一个智能合约全生态实验室,创始技术团队由360核心安全小组成员及百度、腾讯架构师级别程序员组成。

不久前,Armors 获得1000万元战略融资,投资方为由清华大学五道口金融学院GFD校友发起成立的区块链投资基金——DKB FUND基金。

雷锋网注:该文主要分析内容转载自 ArmorsLabs。

雷锋网版权文章,未经授权禁止转载。详情见转载须知

分享:
相关文章

文章点评:

表情

编辑、作者

跟踪互联网安全、黑客、极客。微信:qinqin0511。
当月热门文章
最新文章
请填写申请人资料
姓名
电话
邮箱
微信号
作品链接
个人简介
为了您的账户安全,请验证邮箱
您的邮箱还未验证,完成可获20积分哟!
请验证您的邮箱
立即验证
完善账号信息
您的账号已经绑定,现在您可以设置密码以方便用邮箱登录
立即设置 以后再说