每日最新頭條.有趣資訊

熱點 | 10億個EOS假幣流入市場

來源 | 51幣讀

9月19日,由於出現了一個嚴重的安全漏洞,10億個EOS假幣流入了去中心化的代幣交易平台。最終,攻擊者直接從用戶手中竊取了價值5.8萬美元的加密貨幣。

攻擊者創造了一種全新的EOS代幣,並將其命名為“EOS”。

EOS账戶oo1122334455發行了10億個EOS假幣。經測試發現攻擊可行之後,該账戶開始掛出大額買單,共有11800個EOS假幣用於購買BLACK、IQ和ADD這三種代幣。

攻擊者最終成功用這些代幣買入了EOS。

Newdex透露,攻擊者拿到了4028個EOS(價值2萬美元),並且轉入了加密貨幣交易所Bitfinex。

Newdex dApp用戶因此承受了5.8萬美元的損失。

Newdex團隊已經就本次事件公開道歉,但依然沒有說明將如何補償受影響的用戶。

造成這個漏洞的原因有兩點:首先,任何人都可以用EOS網絡創建代幣,命名也不受限制——很顯然,就算你想叫自己的幣“EOS”也不會有人反對。你只需要擁有一個EOS账戶即可。

其次,Newdex並沒有使用智能合約。沒有智能合約就不能確認特定加密貨幣的真實性。

這一切都是因為Newdex的開發者利用了去中心化交易所(DEX)這個噱頭,把這個平台也包裝成了一個DEX。事實上,它只是偽裝成一個資產交易所,背地裡依然是由單個账戶控制交易,非常的中心化。

而且某reddit網友其實在攻擊之前就發現了這個平台的問題:

這個平台的登錄和交易界面只是假象,讓用戶覺得自己在使用DEX,但事實上你並未把資金發送到任何智能合約,只有一個很普通的EOS账戶‘newdexpocket’,根本不是通過智能合約運作的。

經證實,這個“newdexpocket”账戶根本不包含任何智能合約代碼,因此,Newdex的用戶的資金只是在個人账戶之間進行轉移。

更糟糕的是,這個錢包的持有者和動態權限採用了同一個密鑰。這就很容易造成單一攻擊向量。大多數交易所至少還會用多重簽名錢包。

不過本次攻擊和密鑰無關,只是因為這個交易所的開發者根本沒有通過智能合約來保護用戶資金。

QBD編輯 | 南柯

此文版權歸原作者所有,非鉛筆道原創,不對文中觀點和真實性負責,內容僅供讀者參考。

獲得更多的PTT最新消息
按讚加入粉絲團