Uyarı: EOS akıllı sözleşmelerinde taşma güvenlik açıkları da olabilir, Thomas şöyle yanıt verdi
28 Nisan'da Chengdu Lianan Technology, Babbitt'e blok zinciri odaklı resmi doğrulama platformu VaaS (Hizmet Olarak Doğrulama) araştırma ve geliştirmesinin EOS blok zinciri tabanlı token sözleşmesinin de BEC tokenları olabileceğini bulduğunu açıkladı. Sözleşme benzeri tamsayı taşması güvenlik açığı.
Son zamanlarda BEC token hırsızlığı olayı, bir dizi kod güvenlik ihlali nedeniyle piyasa değerinin neredeyse sıfır olmasına neden oldu. Güvenlik açığı, sözleşme geliştiricisinin hesaplamanın güvenliğini sağlamak için bir kod parçasında safeMath kullanmamasından kaynaklanıyor, bu da toplu aktarım işlevinin kullanımında bir tamsayı taşması zafiyetine yol açtı.Hacker güvenlik açığını 57.896.044.618.618.100.000.000.000.000.000.000.000.000.000.000.000.7968.10039565619
Bu güvenlik açığına yanıt olarak VaaS resmi doğrulama platformu, EOS blok zinciri platformunun akıllı sözleşmelerinde tamsayı taşması güvenlik açığı incelemesi ve güvenlik doğrulaması gerçekleştirdi ve EOS platformuna dayalı benzer akıllı sözleşmelerin geliştirilmesinin de tamsayı taşma güvenlik açıklarına sahip olabileceğini buldu.
Aşağıda, EOS akıllı sözleşme güvenlik açıklarını göstermek için LianAn Technology tarafından Babbitt'e tasarlanan akıllı sözleşme temel işlev aktarımına bir örnek verilmiştir:
Kaynak kodu Şekil 1'de gösterilmektedir:
Şekil 1: Transfer fonksiyonunun kaynak kodu, aynı anda 4 kişiye para transferi
Saldırganın aynı anda 4 kişiye para transfer etmek için sözleşmenin transfer fonksiyonunu çağırdığını ve bakiye parametresinin değerini 263 olarak ayarladığını varsayarsak, fonksiyon çağrısı süreci Şekil 2'de gösterilir:
Şekil 2: Bilgisayar korsanı, aynı anda 4 kişiye para aktarmak için transfer işlevini çağırır
Daha sonra yukarıdaki adres bakiyesini sorgulayarak, devralanın (test eden) (100) bakiyesinin azalmadığı, alıcının (test eden1, test eden2, test eden3, test eden4) tutar değişkeninin taşması nedeniyle çok büyük bir rakam ürettiği görülebilir ( 263), Şekil 3'te gösterildiği gibi:
Şekil 3: Alıcının hesap bakiyesi çok büyük bir miktar oluşturuyor
Güvenlik açığı analizi: Bakiye bir uint64 veri türüdür. Değer 263 olduğunda, bakiye için taşma sınırı kontrolü atlanır çünkü maksimum uint64 değerinden daha küçüktür; ancak, miktar = bakiye * 4 hesaplandığında, miktar aşılır , Değeri 0'a eşit yapın, çünkü miktar eksi eksi değerden büyük olup olmadığı kontrolünü atlar, böylece devralanın bakiyesi devralanın bakiyesini tüketmeden çok büyük bir değer elde edebilir (263).
Bu tür bir soruna yanıt olarak, Lian'an Technology ayrıca bir çözüm önerir: bu tür sorunları önceden önlemek için akıllı sözleşmelerin uygulanmasından önce güvenlik ve işlevsel doğruluğun resmi doğrulamasını gerçekleştirin; EOS ve Ethereum gibi platformlar için güvenli akıllı sözleşmeler geliştirin Akıllı sözleşmelerin geliştirilmesini standartlaştırmak, sözleşme güvenliğini iyileştirmek ve sözleşme geliştirme eşiğini ve zorluğunu azaltmak için şablonlar geliştirin; sözleşme geliştiricileri, bu tür taşma güvenlik açığını önlemek için EOS blok zinciri platformu tarafından sağlanan akıllı sözleşme programlama Math API arayüzünü kullanır. Örneğin, sözleşme geliştiricileri önce uint türü verileri çift türü verilere dönüştürebilir ve ardından işlemleri gerçekleştirmek için EOS blok zinciri platformu tarafından sağlanan Math API'deki double_add, double_mult işlevlerini kullanabilir ve son olarak hesaplama sonucunu uint türüne dönüştürebilir. Veri çıkışı. Bununla birlikte, Math API arayüzü negatif sayıları kontrol etmez.Çift işlemin sonucu negatifse ve daha sonra onu uint tipine dönüştürmeye zorlanırsa, aynı anda yanlış daha büyük bir değer döndürür.Geliştiriciler bu sorunu kullanmaya dikkat etmelidir.
EOS yetkilileri şu yanıtı verdi:
Thomas cevabında akıllı sözleşme güvenlik tespiti için resmi doğrulamanın kullanılmasını övdü ve bu sorunun ortaya çıkmasının esas olarak akıllı sözleşme geliştiricilerin yeterince dikkatli olmadığını gösterdiğine inanıyor. Ayrıca, temel EOS yerel token sözleşmesinin bu tür bir saldırıya tabi olmayacağına da işaret etti.
Chengdu Lianan Technology, Çin Elektronik Bilim ve Teknoloji Üniversitesi Bilgi ve Yazılım Mühendisliği Okulu'ndan Doçent Yang Xia tarafından kuruldu ve Fenbushi sermaye yatırımı elde etti.Ekip üyeleri, tanınmış üniversitelerde (Yale, UCLA gibi) denizaşırı eğitim deneyimine sahip 20'den fazla doçent, doktor ve ustadan oluşmaktadır. VaaS (Hizmet Olarak Doğrulama), kendisi tarafından geliştirilen son derece otomatikleştirilmiş bir blok zinciri resmi doğrulama platformu, mantıksal ve güvenlik boşluklarını büyük ölçüde önleyebilir ve sözleşme kodunun sıkı güvenlik doğrulaması yoluyla akıllı sözleşmelerin güvenliğini ve güvenilirliğini artırabilir.
Gönderildiği andaki Bitcoin fiyatı 57847,39 TL
