
Mercurity.finance智能合约安全漏洞分析
今年美国大选虽说有了广泛意义上的尘埃落定,但竞选结果并未明确。
如今拜登团队宣布胜选,美国媒体纷纷宣布拜登当选下届美国总统。而另一方面,川普拒绝接受败选结果,他持续进行计票,并宣称要采取法律行动。
造成如今这个混乱结果的首要原因在于美国没有设立独立的对大选事务具有权力的权威性的选举委员会,在默认情况下,是新闻机构承担了这个角色。假如川普获得过大的权力,控制了大多新闻机构,营造虚假选票,结果尚未可知。
这就意味着某种程度上,可以说是极尽中心化的“推特治国”后的又一“媒体选举”。
从选举,到互联网,到区块链,2020年,中心化不再是权威的体现,而是“独断”、“专权”的代名词。
北京时间11月9日,CertiK安全研究团队发现DeFi项目Mercurity.finance智能合约代码部分存在中心化风险。
项目拥有者拥有过大权限,可以进行任意数目的铸币,并为给定账户提供任意数目的奖励。
技术步骤分析如下:
ERC20Token.sol
代码地址:
https://github.com/MER-DAO/MEE-core/blob/main/contracts/tokens/ERC20Token.sol
部署地址:
https://etherscan.io/address/0xe1b583dc66e0a24fd9af2dc665f6f5e48978e106#code
图一: ERC20Token智能合约构造函数
图二:onlyIssuer修饰词
图三: 具有铸币方法的issue函数
如图一所示,项目拥有者在ERC20Token.sol智能合约中的构造函数可以将自身设置为issuer身份。由于在智能合约部署时,其构造函数会被自动执行,因此项目拥有者会自动成为issuer。
通过图二中显示的onlyIssuer修饰词的限制,任意拥有issuer身份的外部调用者将可以执行任意被onlyIssuer修饰词修饰的函数。
因此,拥有issuer身份的项目拥有者可以执行图三中具有铸币方法的issue函数,从而可以为任意账户铸造任意数目的代币。
除此之外,该项目还存在一个允许项目拥有者提供代币奖励的后门。该后门存在与AwardContract.sol智能合约中。
AwardContract.sol
代码地址:
https://github.com/MER-DAO/MEE-core/blob/main/contracts/AwardContract.sol
部署地址:
https://etherscan.io/address/0x8Ea43ce113456f45defd0E27e809d719b9CA2362#code
图四:AwardContract智能合约构造函数
图五:onlyGovernor修饰词
图六:addFreeAward智能合约函数
当AwardContract.sol被项目拥有者部署到区块链上时,AwardContract合约的构造函数会被自动执行,也就意味着图四中43行代码被自动执行后,项目拥有者会自动被赋予governor身份。
拥有governor身份的外部调用者可以类似的执行任意被onlyGovernor修饰词修饰的智能合约函数,例如图六中所示addFreeAward函数。
由于所有外部调用者都可以通过调用图七中withdraw函数来将属于自己的奖励取出,因此当governor身份的外部调用者为某一个账户(假设为A)添加了某一数量的奖励后,A账户可以对该函数进行调用,并通过246行的判断条件检查后,通过在281行调用safeIssue()函数来取出被添加的奖励。
图7:withdraw智能合约函数
综上分析,Mercurity.finance项目中智能合约存在的后门漏洞均来自于项目拥有者权限过大。在该类中心化治理机制中,项目拥有者得到了可以随时获利或者摧毁项目经济系统的权利。
CertiK安全研究团队建议Mercurity.finance更新项目中采用的治理系统,引入社区管理的机制。
CertiK在此提醒广大用户:
1. 合约代码需要经过严格的安全验证和审计才可被允许公布。
2. 投资者在投资采用中心化治理机制的项目时需衡量风险,谨慎投资。
比推快讯
更多 >>- 港媒:某本地女子投资加密货币 10 年仍遭连环诈骗,损失高达 400 万港元
- ETH/BTC 汇率上涨突破 0.03,近三月涨幅达 70%
- AguilaTrades 以太坊空单浮盈超 150 万美元,比特币空单浮亏 35 万美元
- 消息人士:香港此次稳定币发行商牌照将以类似邀请制进行
- FTX 债权人代表:巴哈马或受英国/欧盟规则的约束,需额外批准
- 过去 24 小时 CEX 净流出 3,713.31 枚比特币
- OOKC 向 Giants Protocol 战略投资 500 万美元,以支持其全球 RWA 扩张
- Camp Network 首次首尔线下见面会将于 7 月 26 日举办
- 某巨鲸/机构近 2 日买入 18,557 枚 ETH,均价 3,451 美元
- 数据:过去 7 天 USDC 流通量约增加 18 亿枚
- ZachXBT 质疑 Pepe 创作者 NFT 项目行动迟缓,黑客已将资金转入 MEXC
- 首轮质押破 7400 万,Lair Finance 强势启动 AVS Round 2
- 某鲸鱼地址昨日顶部平仓 DOGE 多单,今日再次抄底做多
- Perena 推出合规稳定币 USD',全面适配《GENIUS 法案》要求
- Binance:至少拥有 160 分的 Alpha 用户可申领 900 枚 ESPORTS 空投
- Binance 新一期 Alpha(TAKER)空投数据:77%账户已卖出,单号收益 44 美元
- 以太坊现货 ETF 昨日总净流入 4.02 亿美元,持续 11 日净流入
- James Wynn:错过了做空机会,将等到 PUMP 完全触底再考虑入场
- 7743 枚 BTC 从 Coinbase 转出,价值超 9.16 亿美元
- James Wynn 转空为多开设 25 倍 ETH 多单,仓位价值 1460 万美元
- 某鲸鱼地址过去 10 分钟买入 4772 枚 ETH,均价 3581 美元
- RootData:ALT 将于一周后解锁价值约 867 万美元的代币
- World Liberty Financial 战略购入约 40,000 美元等值 BANK,用于支持 Lorenzo Protocol 项目发展
- XION 上线 Kaito Yapper 排行榜,开放 10 万枚 XION 代币奖励池
- 21Shares 向美 SEC 申请两只加密指数 ETF
- 两个新建地址从 Kraken 提取 22,434 枚 ETH,价值约 7.95 亿美元
- Plasma:XPL 公售启动仅 1 天,社区已超额认购 211%
- 数据:过去 24 小时全网爆仓 8.19 亿美元,多单爆仓 5.46 亿美元,空单爆仓 2.73 亿美元
- 2 个新建地址共计从 Binance 提币 1000 枚 BTC
- 巨鲸 AguilaTrades 持仓总市值达 2.94 亿美元,ETH 空单大幅浮盈
- 5.06 万枚 ETH 于 6 小时前从 HTX 流入至 Binance
- James Wynn:BTC.D 回升,山寨币季节或将暂缓
- 2 个新钱包从 Kraken 提取了 24,252 枚 ETH,价值约 8609 万美元
- 数据:非营利性开发组织 Argot Collective 在 6 小时前再次出售 600 枚 ETH
- SharpLink Gaming 在 2 小时前再度购进 4904 枚 ETH,目前累计浮盈 2.6 亿美元
- 富达 FETH 昨日净流出 4540 万美元,FBTC 净流出 1790 万美元
- 某巨鲸/机构 10 小时前再度买入 19,550 枚 ETH,目前持仓约浮盈 4134 万美元
- 加密恐慌与贪婪指数升至 74,市场贪婪情绪维持
- Tether CEO:将确保 USDT 符合《GENIUS 法案》规定,但仍计划推出专门针对美国的稳定币
- SharpLink Gaming 再增持 19,084 枚 ETH
- 美股收盘:三大股指涨跌不一,Circle 跌 4.71%,Coinbase 涨 2.2%
- Sharplink Gaming 计划发行 50 亿美元股票以购入 ETH
- Ether.fi 将上线 HyperLiquid 生态,推出 beHYPE 质押代币
- 黑客持续侦察 TeleMessage 漏洞,已有多起攻击尝试
- 分析:GENIUS 法案禁收益型稳定币,将利好以太坊 DeFi
- 加密交易所 Bullish 向纽交所申请上市
- Aether Holdings 将融资 4000 万美元,并购买比特币以启用比特币财务储备
- 支付公司 Block 将加入标普 500 指数
- Cantor Equity Partners IV 提交 IPO 申请
- WLFI 代币计划两月内全面上线,预售表现已使其市值跻身前11
比推专栏
更多 >>观点
比推热门文章
- 港媒:某本地女子投资加密货币 10 年仍遭连环诈骗,损失高达 400 万港元
- ETH/BTC 汇率上涨突破 0.03,近三月涨幅达 70%
- AguilaTrades 以太坊空单浮盈超 150 万美元,比特币空单浮亏 35 万美元
- 消息人士:香港此次稳定币发行商牌照将以类似邀请制进行
- FTX 债权人代表:巴哈马或受英国/欧盟规则的约束,需额外批准
- 过去 24 小时 CEX 净流出 3,713.31 枚比特币
- OOKC 向 Giants Protocol 战略投资 500 万美元,以支持其全球 RWA 扩张
- Camp Network 首次首尔线下见面会将于 7 月 26 日举办
- 某巨鲸/机构近 2 日买入 18,557 枚 ETH,均价 3,451 美元
- 数据:过去 7 天 USDC 流通量约增加 18 亿枚