LiFinance:转移代币到一个地址的交易只会改变代币合约

时间：2022-04-23 15:29:54

LiFinance表示，这种调用方式「是有效的」，因为这些调用是在合约的上下文中执行的，该合约有权转移用户的资产，攻击者将这些代币转移到了他控制的单独钱包中，「一旦转账完成，一开始交换的小额资金就被桥连接起来，交易就完成了。」

全国人大代表、中国工商银行副行长兼首席风险官王景武表示，各机构在数字人民币运营中的法律地位、权利义务需要法律或法规进一步明确，以保障数字人民币稳健运营。数字人民币的使用脱离不了数字人民币钱包，而钱包需要在运营机构开立，钱包体系与账户体系的区别不仅关系到公民使用数字人民币还是使用账户资金的选择，也关系到银行业务的改革创新、风险防控机制的建立。另外，数字人民币具有可编程性，其通过加载智能合约来实现，谁有权加载合约、更改合约，以及如何加载、如何更改等需要由具体的法律规定予以规范和保障。

而也正是这一设计为黑客提供了可钻的漏洞——攻击者首先传递了少量合法兑换，然后直接多次调用各种代币合约，「具体来说，他们调用了『transferForm』，这种方法允许攻击者从用户的钱包中转移资金，而这些钱包之前已经无限地授权了对该特定代币的合约。」

ERC代币一个不太明显的问题，揭露了代币和以太币之间的细微差异。以太币是通过以接收地址为目标的交易进行转移的，代币转移发生在代币合约的状态中，以代币合约作为目标，而不是接收者的地址。代币合约跟踪余额并触发事件。在代币转移中，实际没有交易发送给代币接收者，接收者的地址只是被添加到代币合约的映射。向一个地址发送以太币的交易会改变地址状态。转移代币到一个地址的交易只会改变代币合约的状态，而不是接收者地址的状态。即使ERC20代币的钱包也不会知道代币余额，除非用户特地添加一个代币合约来“看”。一些钱包会“看”主流代币合约，来检查它们所控制的地址持有的余额，但是这仅限于现有ERC20合约的小部分。

标签：交易 代币 合约 地址