TRA:Creat future慘遭隨意轉移幣，幕后黑手究竟是誰？-ODAILY_STRAY價格

前言

CF代幣合約被發現存在漏洞，它允許任何人轉移他人的CF余額。到目前為止，損失約為190萬美元，而pancakeswap上CF/USDT交易對已經受到影響。知道創宇區塊鏈安全實驗室第一時間對本次事件深入跟蹤并進行分析。

事件詳情

受影響的合約地址

https://bscscan

加密貨幣信貸市場Credix在Solana推出新的信貸池:金色財經報道，去中心化金融(DeFi)信貸市場Credix Finance周三表示，該公司已使用第1層區塊鏈Solana開設了一個新的私人信貸借貸池。該公司認為未來幾個月該資金池可能會擴大到1.5億美元。[2023/7/26 16:00:09]

uint256fee=0;..

_transfer()函數是直接轉移代幣transfer()和授權轉移代幣transferFrom()的具體實現，但該函數的修飾器是public，因此任何人都可以不通過transfer()或transferFrom()函數直接調用它。而當變量useWhiteListSwith設置為False時，該函數不會檢查調用地址和傳輸地址是否合規，直接將代幣轉移到指定地址。

Tribal Credit完成4000萬美元債務融資，Partners for Growth、SDF參投:1月16日消息，專注于加密技術的企業支付平臺Tribal Credit完成4000萬美元的債務發行，通過法定貨幣和穩定幣獲得資金，為該公司在拉丁美洲拓展業務服務提供額外資本。

其混合債務輪融資是由總部位于加利福尼亞的投資公司Partners for Growth、支持Stellar區塊鏈發展的非營利組織Stellar Development Foundation （SDF）提供資金。Tribal表示，該公司將利用這筆資金為來自整個拉丁美洲客戶群的應收款項提供資金，特別是墨西哥、巴西、智利、哥倫比亞和秘魯。（Cointelegraph）[2022/1/7 8:30:59]

在區塊高度為16841993時，管理員就把useWhiteListSwith設置為False：

聲音 | Morgan Creek創始人：美國政府喜歡比特幣 只要你不違法:Morgan Creek創始人Anthony Pompliano剛剛推文對美國財政部長Steve Mnuchin的發表做出評論：“美國財政部長Steve Mnuchin基本上告訴所有人要遵守規則，不要用比特幣或密碼做非法的事情。聽起來像一個綠燈對于那些想要做事情的正確方法。美國政府喜歡比特幣，只要你不違法。”[2019/7/16]

此時開始有攻擊者利用_transfer()函數直接轉移代幣：

總結

經過完整分析，知道創宇區塊鏈安全實驗室明確了該次事件的源頭由函數本身權限出現問題，而管理員同時操作不慎關閉了白名單檢測，兩方結合導致攻擊者可以實現轉移任意錢包代幣的操作。

在核心函數上我們一直建議使用最小權限原則，像這次的_transfer()函數本不該用public修飾器，使得transferFrom()函數檢查授權額度的功能形同虛設；而合約管理者也不該隨意修改關鍵變量值，導致攻擊者可以繞過白名單檢查的最后一道防線。

合約不僅僅是代碼層面的安全，不光需要白盒代碼審計，更需要合約管理員共同合理維護。

Tags：ANSTRANSTRARANEvident Proof Transaction TokenTRANSPARENT價格STRAY價格

芝麻開門交易所