时间：2022-06-16 11:22:44
漏洞本身虽然严重但成因并不复杂（更像是开发者笔误产出的），比较有意思的是官方的修复方式。由于合约本身不支持升级，因此无法直接更新合约代码；合约不支持暂停，因此也没法用快照+迁移的方式转移用户资产。最终官方的措施是自己发动了攻击交易，将所有受漏洞影响用户的资产转移到了一个多签钱包中。待后面部署新Token合约后会再行分配。
在以太坊智能合约中，进行转账操作，一旦向被攻击者劫持的合约地址发起转账操作，迫使执行攻击合约的回调函数，回调函数中包含回调自身代码，将会导致代码执行“重新进入”受害合约。这种合约漏洞，被称为“重入漏洞”。
概念：铸币函数是智能合约里会用到的一种常见函数，功能是被调用后可以铸造一定数量的新代币。正常情况下的铸币函数权限一般只有平台合约的Owner才拥有，当平台私钥泄露或Owner权限被黑客掌握的话，黑客就会调用铸币函数，铸造大量代币并出售获利。另一种情况就是平台的智能合约代码业务逻辑有漏洞，被黑客有机可乘，利用漏洞调用合约函数进行铸币。
请注意，合同中确认的漏洞并不意味着。(1)利用漏洞很容易或很便宜，或者(2)漏洞阻断了合约中的所有以太。例如，利用无界质量操作漏洞所需的气体可能是昂贵的，使攻击者望而却步。然而，这并不影响合约对有动机的恶意行为者的脆弱性质。
而也正是这一设计为黑客提供了可钻的漏洞——攻击者首先传递了少量合法兑换，然后直接多次调用各种代币合约，「具体来说，他们调用了『transferForm』，这种方法允许攻击者从用户的钱包中转移资金，而这些钱包之前已经无限地授权了对该特定代币的合约。」
通过此次攻击事件来看，出现安全风险的是在链上治理相关功能的设计缺陷，以及预言机合约中更新价格的函数可以任意调用，是多个漏洞组合而成，环环相扣，缺一不可。并且从攻击者交易中可以看出，攻击者蓄谋已久，从一个月前甚至更早就开始对项目进行“踩点”和测试。创建了一系列的攻击合约或攻击辅助合约，并且主要的攻击合约已在完成攻击后进行自毁，攻击获利也通过cBridge(CelerNetwork)等跨链桥后被转移到以太链，并且在一系列后续交易中被发送到TornadoCash混币平台。
一、什么叫智能合约 智能合约是时下趋之若鹜的区块链专有名词，其火爆水平与其说定义的模糊不清水平相伴相生。PeterTodd就曾坦言：“没人了解智能合约到底是啥，大家应当必须推测机去执行它。”要了解智能合...
如今我们的日常生活基本上离不了合同书，往大说，工作中是与企业签署的劳动合同书，购房是与房地产公司签署买房合同，购买保险是与车险公司签署保险合同；往变小说，网上购物、定外卖送餐、打的、购买彩票全是与有关的服务项目给予...
比特币有智能合约吗？当然。通用术语中的智能合约是一种数字化协议，在满足预定标准时自动执行。比特币是支持多种智能合约以支持多笔交易的领先货币之一。比特币经过重大升级，使加密货币能够轻松处理更复杂的交易。这些智能合约为加密货...
我一直以来都确信价值项目投资的必要性，不论是股票市场或是币市，没有人了解某一只股票或是一种数据加密货币下面实际会涨依然会跌，但其中在的价值能够给大家在长线投资中出示一些insights.如今的流行数据加密货币全是根...