波场DApp遭黑客围猎?1小时内1.7亿枚BTT被卷跑
波场公链DApp市场高度繁荣的同时势必会引来黑客垂涎,而目前波场还未曾遭到过像EOS那样高强度的攻击。
作者:顾梦婷
波场DApp也被黑客盯上了
据DappReview监测,今日凌晨1点,波场DApp TronBank遭到假币攻击,1小时内被盗走约1.7亿枚BTT(价值约85万元)。
区块链安全公司PeckShield数据显示,今天凌晨00:17,TCX1Cay开头的黑客创建了大量BTTX假币,并于凌晨00:25至01:00之间向多个地址转入共计4,000万个BTTX代币,并把假的BTTX洗成真的BTT代币,进而对TXHFhq开头的BTTBank游戏合约实施攻击。
安全人员认为,黑客采用假币攻击方式,通过调用BTTBank智能合约的invest函数,之后调用多次withdraw函数取出BTT真币。截止目前,BTTBank共计损失1.8亿BTT。
初步分析认为,这是继TransferMint漏洞之后,一种新型的具有广泛性危害的漏洞,会威胁到多个类似DApp合约的安全。
TronBank的BTT投资产品于4月10日晚10点正式开放,仅三小时内总投资额超过2亿枚BTT,此前该项目的TRX投资产品最高资金池余额超过2.6亿枚TRX。
针对此事件,北京链安安全专家hardman表示,本次发生的假币漏洞并非个例,类似的事件已经在其它公链发生过多起,主要分为假充值漏洞和假币漏洞。
此前USDT和以太坊都发生过假充值漏洞,而EOS公链上的多个DApp曾发生过假币漏洞。目前所有的假币漏洞或者假充值漏洞都是由于开发者代码编写不当导致的,公链和代币本身并没有漏洞。
小葱注:假充值漏洞是由于平台交易所或者DApp项目方在充值逻辑没有对函数的返回结构中特定参数做解析校验,并且没有做账户余额是否正确增加的二次判断;假币漏洞是由于平台交易所或者DApp项目方充值逻辑没有对充值代币的关联信息做详细校验;攻击者通过发行同样代币名称的代币便可以实现假币充值。
小葱查询发现,目前TronBank开发者尚未对此事做出回应,网站也没有及时关闭,仍有不明真相的群众进入投资,但他们投入的BTT会被黑客提走。
一波未平一波又起:“随机数”攻击或向波场DApp蔓延
4月10日23点02分,PeckShield监控显示,黑客向波场竞猜类游戏TronWow发起1203次攻击,共计获利2167377个TRX。
安全人员初步分析认为,黑客每次投注20TRX,回报1940个TRX,共计投注23004个TRX,回报超94倍。随机数攻击的方式目前普遍存在于EOS DApp生态,目前来看此类攻击有逐渐向TRON生态蔓延的趋势。
此前多个EOS 竞猜游戏遭遇“随机数”攻击,OnePlay、EOSLuck、EOS.WIN、FarmEOS、影骰、LuckBet、GameBet、Fishing、EOSDice、STACK DICE、ggeos等知名EOS DApp陆续被攻破。
针对来者不善的随机数攻击,慢雾安全团队给出安全防御建议,DApp项目方在对新区块链场景机制不太有把握的情况下,随机数的实现建议采用链下结合方式,并在合约入口(如下注、开奖等)判断来源是否是合约账号,如无必要,可以禁止采用合约账号的玩家。
波场DApp发展迅猛,或被更多黑客围猎
数据分析网站DApp.com本周二发布报告称,波场DApp用户群增长最快,以太坊DApp用户群则正在萎缩,但以太坊仍然是开发者的首选。
小葱此前文章也提及,去年DApp用户还百分百青睐以太坊,而今年1月,仅有28%的用户继续留守以太坊平台,其余市场份额皆被EOS和波场瓜分。研究数据显示,波场DApp今年第一季度促成了16亿美元的交易活动,活跃用户超过30万,而EOS约为26万。
据悉,截至第一季度末,波场钱包数量超过230万,其中约15.46%与DApp互动频繁。博彩类应用程序被认为是波场DApp用户数量增长的主要驱动力。
在2019年第一季度,约有85%的波场DApp用户玩过此类应用,活跃度居DApp四大公链之首。
波场公链DApp市场高度繁荣的同时势必会引来黑客垂涎,而目前波场还未曾遭到过像EOS那样高强度的攻击。
成都链安此前发布安全预警,称近期针对波场项目方的攻击测试频率开始上升并已造成实际损失,黑客团队未来可能将攻击重点转向波场。
来源:小葱区块链
比推快讯
更多 >>- Terraform 律师反驳 SEC,称代币销售大部分发生在美国境外
- Coinbase 第一季度营收 16 亿美元,较上一季度增长 72%
- Block:拟每月将比特币产品毛利润的 10% 用于投资 BTC
- Tether与Chainalysis 合作开发用于监控二级市场活动的可定制解决方案
- 价值超7600万美元ETH从未知钱包转移到Coinbase Institutional
- Magic Eden宣布其BTC Diamond Retro申领已上线
- 以太坊 NFT 4 月份销售额 2.41 亿美元,为2023 年 10 月以来最低
- Jito 成为 Solana 上TVL最大的协议, 达 14 亿美元
- 摩根大通:加密市场抛售是由散户投资者推动的
- USDC Treasury新增铸造5000万枚USDC
- 一巨鲸以0.051美元价格购买193万枚SC,SC 上涨约 200%
- Coinbase国际交易所将增加对 Arweave、Hedera 和 Theta 永续合约的支持
- 某以太坊ICO参与者在休眠8.8年后转出1,960枚ETH,价值587万美元
- 今日美国9只现货比特币ETF净减持8107枚BTC,约4.7亿美元
- 法国巴黎银行持有约4.1万美元的贝莱德现货比特币ETF敞口
- RWA 平台 Untangled 在 Celo 上开设其首个 USDC 借贷池
- MoonPay 集成 PayPal,允许美国用户通过 PayPal 买卖 110 多种加密货币
- RWA市场Ironlight完成1200万美元的融资,拟在美SEC注册
- 截至4月1日Yield Guild Games财库持有资产总规模约6700万美元
- 彭博ETF分析师:需要重新调整对香港虚拟资产ETF市场的看法
比推专栏
更多 >>- 每月动态 | Web3 安全事件总损失约 9081 万美元
- 脱水大字报:牛市行情或延迟类似2016年
- 矿工日收入突破亿创纪录,比特币符文能否接力铭文?
- 获比特大陆投资且被币安首个接入的BTC L2项目BEVM有何亮点?
- 为什么这轮牛市无法复制 2021 年的山寨季?
- 独家!种子轮融资200万美金+AI叙事的项目
- IOSG Weekly Brief|MKR的涅槃重生:新公链和RWA稳定币与Spark借贷独角兽 #223
- Kusama 上的 Coretime 交易已开始,平行链时代谢幕
- 100亿美元开发投资,红杉资本入局,特斯拉要搞波大的…
- Chainlink Q1产品更新;CCIP正式进入全面可用阶段;Consensus2024来啦|Chainlink 周报
观点
项目
比推热门文章
- 【比推每日新闻精选】Block拟每月将比特币产品毛利润的 10% 用于投资 BTC;Coinbase 第一季度营收 16 亿美元,较上一季度增长 72%;Jito 成为 Solana 上TVL最大的协议, 达 14 亿美元
- Terraform 律师反驳 SEC,称代币销售大部分发生在美国境外
- Coinbase 第一季度营收 16 亿美元,较上一季度增长 72%
- Block:拟每月将比特币产品毛利润的 10% 用于投资 BTC
- 【比推每日市场动态】 先抛为快!散户领头!现货比特币 ETF 现最大单日资金外流
- Tether与Chainalysis 合作开发用于监控二级市场活动的可定制解决方案
- 价值超7600万美元ETH从未知钱包转移到Coinbase Institutional
- Magic Eden宣布其BTC Diamond Retro申领已上线
- 以太坊 NFT 4 月份销售额 2.41 亿美元,为2023 年 10 月以来最低
- Jito 成为 Solana 上TVL最大的协议, 达 14 亿美元