BASE:首发 | DeFi项目Based智能合约出现漏洞 发生了什么？

“亡羊补牢，为时未晚”，这句话在生活中的大部分时候均适用。然而，在面临网络安全时，牢破也许就会造成无法挽回的损失。

在安全问题未造成不可弥补的损失前就被发现，或是一开始便做好万全准备，才是身为区块链从业者的安全第一要义。

北京时间8月14日下午，CertiK安全技术团队发现DeFi匿名耕种项目Based官方宣布有攻击者通过调用Based智能合约中的某一个函数，将一号池（Pool 1）冻结，同时宣布将重新部署其一号池。

首发 | imKey正式支持Filecoin，成为首批Filecoin硬件钱包:12月1日，随着imToken2.7.2版本上线，imKey同步支持Filecoin，成为业内首批正式支持FIL的硬件钱包。Filecoin作为imKey多链支持的优先级项目之一，成为继BTC、ETH、EOS和COSMOS四条公链后的第五条公链。

据悉，imKey团队已在Q4全面启动多链支持计划，计划实现imToken已经支持的所有公链项目，本次imKey升级更新，无需更换硬件，不涉及固件升级，通过应用（Applet）自动升级，即可实现imKey对Filecoin的支持及FIL的代币管理。[2020/12/2 22:52:32]

官方发布推特称，有黑客试图将“Pool1”永久冻结，但尝试失败。而“Pool1”将继续按计划进行。

首发 | 《一起来捉妖》中玩家达到22级将会接触到专属猫的玩法 ?:今日腾讯上线首款区块链游戏《一起来捉妖》，经金色财经查证，游戏中玩家达到22级将会接触到专属猫的玩法，而非此前官方对外宣称的15级。除了诱猫铃铛召唤出的0代猫以及部分通过运营活动奖励的专属猫以外，游戏中所有的猫默认都是未上链状态。未上链的猫不能出售，也无法进入市场与其他玩家配对；但是你可以使用这些猫与你的QQ/微信好友进行配对，产出新的小猫。使用道具“天书笔”可以将你的猫记录到区块链。当猫被记录到区块链以后，这些猫就可以进入市场，通过配对赚取点券，或者出售赚取点券。专属猫是否上链，并不影响它的增益效果。但只有上链后，它才能面对全服务器所有的玩家进行繁殖、交易。

?

《一起来捉妖》中的专属猫玩法，基于腾讯区块链技术，游戏中的虚拟数字资产得到有效保护。此外，基于腾讯区块链技术，猫也可以自由繁殖，并且运用区块链技术存储、永不消失。[2019/4/11]

CertiK通过分析该智能合约，认为这次冻结Based项目一号池事件，是一次由于存在智能合约漏洞导致的事故。

首发 | 蚂蚁矿机S17真机图首次曝光 采用双筒风扇及一体机设计 ?:继正式宣布在4月9日现货销售后，比特大陆即将发布的新品蚂蚁矿机S17又有了新动态。据悉，蚂蚁矿机S17真机图今天在网上首次曝光。

从曝光的图片来看，蚂蚁矿机S17延续上一代产品S15的双筒风扇设计，且采用一体机的机身设计。有业内人士认为，采用双筒设计可有效缩短风程，矿机出入风口的温差变小，机器性能将得到很大改善。

此前比特大陆产品负责人在接受媒体采访时表示，新品S17较上一代产品相比，无论是在能效比还是单位体积的算力等方面，均有较大提升。[2019/4/3]

金色首发 EOS超级节点竞选投票率达6.49%:金色财经数据播报，截止北京时间6月13日15:50，EOS投票率达6.49%。EOS引力区和EOS佳能作为两个来自中国的超级节点竞选团队暂居第五和第六名。其中EOS引力区的得票总数为903万，占比2.96%；EOS佳能的得票总数为877万，占比2.87%。此前异军突起的EOSflytomars暂居第17位，得票总数为630万，占比2.07%。目前跻身前30名的超级节点竞选团队中，有八个团队来自中国。[2018/6/13]

Based团队部署一号池智能合约，部署地址为0x77caF750cC58C148D47fD52DdDe43575AA179d1f。

Based官方通过调用智能合约中的renounceOwnership函数来声明智能合约所有者，但未进行智能合约初始化。

由于在Based智能合约中initialize函数被错误的设置为可以被外部调用，因此造成在初始化智能合约过程中，一号池的智能合约被外部攻击者用错误的值初始化。

错误的初始化造成Based官方无法再次初始化一号池的智能合约，因此造成一号池被冻结，任何质押行为都无法完成。

Based官方决定放弃该智能合约，重新部署一号池智能合约。 

1. Based团队在部署智能合约后，没有及时的调用下图的initialize函数来初始化智能合约的设置：

2. 外部调用者利用Based团队在部署和初始化智能合约之间的时间差，乘机调用了下图中671行被错误设置调用范围的initialize函数，抢先初始化了一号池的智能合约：

3. 上图两个initialize函数都是由initializer的修饰符修饰。根据其中代码，如果调用了其中一个initialize函数，另外一个initialize函数就无法被调用。initializer修饰符代码如下图所示，这造成了Based官方失去了初始化函数的机会：

4. 综上因素，Based智能合约无法被官方正确初始化，因此任何质押行为都无法进行。

质押失败的交易记录：

该次事件本质上是由智能合约漏洞导致的，但如果Based团队提早注意到这个漏洞，提前初始化智能合约，可以完全规避这次危险，避免一号池被冻结。因此，CertiK安全技术团队提出如下建议：

部署智能合约时应准备好初始化智能合约所需要的命令脚本等工具，及时初始化智能合约，避免攻击者利用部署操作和初始化操作之间的时间差，抢先初始化或者恶意操纵智能合约。

开发者应精通智能合约的运行原理和技术细节，不要盲目的采用其他的智能合约代码。

可邀请专业的第三方安全团队或内部安全专家对其智能合约进行审计，保证智能合约的安全性和可靠性。

标签：BASEBASBASEDEOScoinbase币单Basis Cash2BASED柚子币eos最新真实消息

TRX热门资讯