ChainLink智能合约攻击与漏洞介绍

ChainLinkToken综合L1攻击:块链Oracle是将可靠的外部信息传递给智能合同的上下文的服务。利用其项目资产抵押,ChainLink发售了具备LINK18符号的ERC-20Token,在其程序代码中融合了攻击模式L1。在此Token中,使用特殊的用户角色VIP用户,该角色可以随时转移资金,其馀用户只能在预定期限后转移资金。测试运行没有发现任何问题,但在生产部署中,恶意智能合同所有者使用与合法VIP用户地址相同的EIP-55验证和挖掘相似的公共地址,并将该地址保存在智能合同中。因此,无法识别伪造地址的VIP用户无法从智能合同中转移资金。


BitfinexToken融合A6攻击:BitfinexLEOToken(也称UDESEDLEO18)由Bitfinex加密货币交易所资产支持。在这个Token中,攻击者使用辅助助助手的智能合同来防止传输泛滥(也就是说,一个用户多次进行小型传输)。该智能合同使用了预期泛滥检测函数的ICC标头的同形异义词替换。但而,由于用同形异义词替代,辅助智能合同中的错误函数将被调用,从而导致攻击。


CryptoKitties综合混合社会工程攻击模式:ERC-721标准用于不可替代唯一)以太网坊Token,如收藏、游戏、合同等。CryptoKitties可采集的游戏是最受欢迎的ERC-721Token之一。关于这个合同,结合了攻击L1和A2的技术。具体而言,L1组件涉及到攻击者手动更改收费器。A2组件在EOA地址部署了无法支付的智能合同,导致交易销售。与以前对ERC-20Token的四次攻击相似,这种社会工程学的利用在测试过程中也不显示。仅在生产环境中,所有者配置不收费的合同时,恶意逻辑就会生效。


分享: