หลายโครงการของ Binance Smart Chain หนีไป PopcornSwap กวาดไป 40,000 BNB เหตุใดเชนสาธารณะของการแลกเปลี่ยนจึง "น่าอาย&qu
Wu กล่าวว่าผู้เขียน | Colin Wu
บรรณาธิการฉบับนี้ | Colin Wu
Wu กล่าวว่าผู้เขียน | Colin Wu
บรรณาธิการฉบับนี้ | Colin Wu
เมื่อเร็ว ๆ นี้ "นักขุด" ของเหลวจำนวนหนึ่งบอกกับ Wu Shuo Blockchain ว่าป๊อปคอร์น DeFi "earth mine" อีกตัวบน Binance Smart Chain ได้หนีไปแล้ว และโครงการได้เข้าใกล้ 48,000 BNB มูลค่าประมาณ 2.15 ล้านดอลลาร์สหรัฐ อีกสามโครงการ (Zap Finance และ Tin Finance, SharkYield) หายไปภายในเวลาไม่กี่วัน ในปัจจุบัน SharkYield ดูเหมือนว่าจะพรากเงินไป 6,000 BNB ด้วยการวิ่งหนี
Binance ระบุว่าทีมรักษาความปลอดภัยกำลัง "ติดตาม" โครงการ popcornswap ในชั่วข้ามคืน แต่อาจไม่สามารถกู้คืนได้สำเร็จ บทความส่งเสริมการขายก่อนหน้านี้ของ Binance ยังระบุด้วยว่าการกู้คืนเป็นเหตุการณ์ที่มีความเป็นไปได้ต่ำ และผู้ใช้ควรลงทุนอย่างระมัดระวังและเลือกโครงการชั้นนำคุณภาพสูงเพื่อเข้าร่วม
มีปัญหาสองประการในเหตุการณ์การหลบหนีของ Popcornswap นี้:
1. ข้อเสนอแนะจากนักขุด Binance ระบุว่า USDT (ผ่าน Tether) และ BUSD สามารถแช่แข็งได้ แต่ BNB ไม่สามารถแช่แข็งได้ ดังนั้นโครงการที่กำลังดำเนินอยู่จึงเริ่มใช้ BNB ในวงกว้าง
2. Binance เคยกล่าวไว้ว่าในอนาคต ชุมชน Binance Smart Chain จะให้บริการตรวจสอบสำหรับโครงการคุณภาพสูงที่ปรับใช้ทีละโครงการ ในอนาคต จะมีสัญญาณเพื่อแยกแยะโครงการที่ตรวจสอบแล้วและยังไม่ได้ตรวจสอบสำหรับการอ้างอิงของผู้ใช้ แต่จนถึงขณะนี้ยังไม่ปรากฏเครื่องหมายการตรวจสอบซึ่งอาจเป็นอุปสรรคเนื่องจากค่าใช้จ่ายและเวลาที่สูงของหน่วยงานตรวจสอบ
ความคิดเห็นก่อนหน้านี้ของ Binance คือ BSC เป็นเครือข่ายสาธารณะแบบเดียวกับ Ethereum และไม่ควรรับผิดชอบต่อโครงการข้างต้น He Yi เคยกล่าวไว้ว่า: โครงการ Binance Smart Chain ไม่ได้พัฒนาโดย Binance ดังนั้นทำไมไม่ขอให้ V God เรียกร้องค่าชดเชยสำหรับการสูญเสียเงินในการขุดบน Ethereum
แต่ในทางกลับกัน Binance กำลังโปรโมตเพื่อช่วยให้ผู้ใช้กู้คืนทรัพย์สินของตนได้ ตัวอย่างเช่น โครงการ Wine Swap ซึ่งเป็นโครงการ "ขุดดิน" ของผู้สร้างตลาดอัตโนมัติ (AMM) หนีไป และทีมรักษาความปลอดภัยของ Binance ช่วยให้ผู้ใช้กู้คืน 99.9% ของเงินที่หายไป รวมมูลค่ากว่า 344,000 ดอลลาร์สหรัฐ Binance ยังระบุด้วยว่าการติดตามดังกล่าวมักจะต้องใช้กำลังคนและทรัพยากรจำนวนมาก และบ่อยครั้ง เบาะแสของการไล่ล่าเหล่านี้จะถูกขัดจังหวะ กล่าวได้ว่า เป็นเรื่องยากที่จะประสบความสำเร็จในการไล่ล่านี้
ผลที่ตามมาคือ Binance จะตกอยู่ในสถานการณ์ที่น่าอับอาย: ควรจัดการหรือเพิกเฉยต่อโครงการที่กำลังดำเนินอยู่? ผู้ใช้จะมีคำถามเกี่ยวกับเรื่องนี้ด้วย แล้ว Binance จะสนใจเรื่องนี้หรือไม่?
ตรรกะของโครงการใน BSC คือ CZ ซึ่งเป็นโครงการที่มีการพัฒนาอย่างดี จะรีทวีต จากนั้นดึงดูดความสนใจและค่อยๆ เติบโตขึ้น ในทางตรงกันข้าม ห่วงโซ่ระบบนิเวศของ Huobi มีระดับการรวมศูนย์ที่สูงกว่า และโครงการลงทะเบียนจะได้รับการจดทะเบียน และมีกรณีหนีหายไปน้อยกว่า Binance Smart Chain หวังว่าจะ "ไม่เป็นผู้ตัดสิน"
เนื่องจากโครงการและผู้ใช้ส่วนใหญ่ของ Huobi เป็นชาวจีน สิ่งนี้จึงกำหนดว่าพวกเขาต้องเลือกการจัดการและการควบคุมแบบรวมศูนย์ ว่ากันว่า Huobi มีแผนฉุกเฉินโดยละเอียดสำหรับการดำเนินโครงการและโครงการขนาดเล็กหลายโครงการได้รับการจัดการทันที
อ้างถึง
ความทะเยอทะยานและความลำบากใจของ Binance Smart Chain (BSC): เหนือกว่า Ethereum หรือกลายเป็น Sun Yuchen?
เนื้อหาต่อไปนี้เป็นการอนุญาตแต่เพียงผู้เดียวของ iNexusPro ในการเปิดตัว Wu Shuo blockchain และเนื้อหาได้รับการแก้ไขเล็กน้อย
โดยทั่วไป มีหลายขั้นตอนในการถอนเงินจากเหมืองดิน:
1. ใช้ APY สูงเพื่อดึงดูดสตั๊ดที่หุนหันพลันแล่นของคุณ (โปรดทราบว่าเหมืองดินของพวกหัวขโมยหลายคนเขียนด้วย APR ซึ่งดูสูงกว่า และคุณสามารถปิดได้โดยตรงหากคุณใช้เหมืองดินของ APR เพื่อหาความมั่นคง) ท้ายที่สุด APY ที่สูงก็คือ ได้รับการสนับสนุนจากทองคำและเงินจริง ผู้เล่นรายใหญ่ที่มีผลตอบแทนสูงมาก่อน ดังคำกล่าวที่ว่า ยิ่งผลตอบแทนสูง ความเสี่ยงก็ยิ่งมากขึ้น
2. ผ่านมาตรการรักษาความปลอดภัย "ที่เรียกว่า" (การล็อกเวลา ฯลฯ) เพื่อให้คุณรู้สึกว่าความเสี่ยงนั้นต่ำมาก
3. ทันทีหลังจากขโมยเงิน ให้แลกเปลี่ยนเป็นโทเค็นที่ไม่ใช่ erc หรือโทเค็นที่ไม่สามารถแช่แข็งได้ จากนั้นรอโอกาสผสมเหรียญเพื่อหลบหนี
หลังจากดูขั้นตอนนี้แล้ว คุณควรเข้าใจ หากคุณทำได้:
1. จะไม่มีการแตะต้องเหมืองดินแบบโอเพ่นซอร์ส ไม่ว่า APY ของเขาจะเขียนได้น่าสนใจเพียงใด
2. หากคุณต้องการเข้าร่วมในเหมืองดินแบบโอเพ่นซอร์ส คุณต้องเข้าร่วมด้วยเงินทุนจำนวนเล็กน้อยหลังจากตรวจสอบตัวแปรตัวแปรในสัญญาส่วนต่าง (แต่อาจมีความเสี่ยงเช่นการแลกเปลี่ยนข้าวโพดคั่วซึ่งจะอธิบายในรายละเอียด)
3. ฉันเชื่อว่าคุณสามารถหลีกเลี่ยงความเสี่ยงส่วนใหญ่ได้ ให้ฉันพูดสั้น ๆ เกี่ยวกับวิธีแยกความแตกต่างของสัญญา วิธีตรวจสอบพารามิเตอร์ และการคิดเชิงอนุพันธ์
ขั้นตอนแรก: ความแตกต่าง
ใช้เครื่องมือเปรียบเทียบออนไลน์ https://www.diffchecker.com/ เป็นตัวอย่าง
https://bscscan.com/address/0x73feaa1ee314f8c655e354234017be2193c9e24e#code
โปรดทราบว่าสัญญาส่วนต่างต้องเป็นที่อยู่ของสัญญาที่คุณต้องการโอนเหรียญเข้า (คุณสามารถโอนจำนวนเล็กน้อยเพื่อรับที่อยู่ได้)
https://bscscan.com/address/0x584527ded17aceb3dc617c40b04e8fe9afc57096#code
ขั้นแรกรับรหัส MasterChef ดั้งเดิม (ที่นี่เราจะยกตัวอย่างการสลับแพนเค้ก):
นี่คือตัวอย่างของการแลกเปลี่ยนป๊อปคอร์น:
คัดลอกโค้ดทั้งสองด้านแยกกันแล้วเริ่มผลต่าง
ที่นี่ฉันบันทึกผลต่าง คุณสามารถคลิกลิงก์นี้โดยตรง: https://www.diffchecker.com/VqaCP3DK
การปรับเปลี่ยน เช่น สตริง (ชื่อ ฯลฯ) ในผลลัพธ์ หรือเนื้อหาหลัง // (ความคิดเห็น) สามารถละเว้นได้
ดังที่แสดงไว้ข้างต้น สามารถละเว้นได้
หากเป็นรหัสที่เพิ่มมาจากฉบับเดิม หมาดิน จะลบออกโดยทั่วๆ ไป ไม่สำคัญ ประเด็นสำคัญคือ โค้ดของ หมาดิน แตกต่างจากฉบับเดิมคือ
รูปภาพด้านบนแสดงความแตกต่างที่สำคัญ Tugou แก้ไขวิธีการย้ายข้อมูลดั้งเดิมและเพิ่มฟังก์ชันที่เรียกว่า preUpgrade
เห็นแบบนี้แล้ว หากคุณไม่รู้อะไรเกี่ยวกับสัญญา คุณสามารถปิดหน้าได้โดยตรงเพื่อรักษาความปลอดภัยในช่วงระยะเวลาการรักษาความปลอดภัย
นี่คือการวิเคราะห์โดยย่อของความแตกต่าง ขั้นแรก วิธีการโยกย้าย นี่คือรหัสที่สืบทอดมาจาก sushiswap รหัสดั้งเดิมมีความเป็นไปได้ที่จะล้างเงินในพูล (ดังนั้นหาก Tugou มีวิธีการโอนย้าย อย่าเล่นมัน เพื่อความมั่นคง).
ในป๊อปคอร์น วิธี preUpgrade ใหม่เป็นแบบสาธารณะ ซึ่งหมายความว่าทุกคนสามารถเรียกใช้ได้
ขั้นตอนที่สอง: ตรวจสอบตัวแปร
คลิกปุ่มนี้ของสัญญา Tugou:
ตรวจสอบการย้ายข้อมูล เจ้าของ และตัวแปรอื่นๆ: (เจ้าของคือแกนหลัก)
จะเห็นได้ว่าตัวย้ายข้อมูลเป็น 0 และเจ้าของคือ timelock address หนึ่งในกลอุบายของ Tugou คือการอ้างว่ามี timelock และให้ที่อยู่ของสัญญา แต่เจ้าของ ไม่ใช่ address ของ timelock ซึ่ง เห็นได้ชัดว่าเป็นการหลอกลวง
แน่นอน สัญญาล็อกเวลายังสามารถดำเนินการเล็ก ๆ น้อย ๆ ได้ ดังนั้นจึงจำเป็นต้องดำเนินการต่าง ๆ ด้วย ไม่มีปัญหากับการล็อกเวลาของเขาที่นี่ ดังนั้น ฉันจะไม่ลงรายละเอียด
https://bscscan.com/tx/0x38f75296e3343228c0309f8c99a24ca4f4812372f2b032f38ce25ac5a992b768
หลังจากเสร็จสิ้นสองขั้นตอนข้างต้น นักขุดอาวุโสหลายคนอาจรู้สึกว่ามีการล็อกเวลา และตัวแปรสัญญาก็ไม่มีปัญหา แม้ว่าจะมีความเสี่ยงในโค้ด แต่มีการล็อกเวลา ไม่เป็นไร รีบไปที่ tmd สำหรับราคาต่ำ สุนัขท้องถิ่นระดับหนึ่งมันอาจไร้ประโยชน์จริง ๆ มันเสี่ยง แต่น่าเสียดายที่ป๊อปคอร์นสวาปเป็นสุนัขขั้นสูงเล็กน้อย ดูฉันแจกแจงขั้นตอนการขโมยด้านล่าง:
ฝ่ายโครงการโทร:
วิธีการอัปเกรดล่วงหน้าช่วยให้ที่อยู่ของคุณสามารถโอนได้จากการอนุญาตของโทเค็นในสัญญา (ความเข้าใจง่ายๆ หมายความว่าคุณต้องอนุญาตให้สัญญาใช้เหรียญของคุณก่อนที่จะทำธุรกรรม uniswap นี่คืออนุญาตให้คุณใช้เหรียญในสัญญา)
เมื่อดูที่โค้ดก่อนหน้านี้ คุณจะพบว่า preUpgrade มีฟังก์ชันนี้ แต่ให้สิทธิ์แก่ผู้ย้ายข้อมูลเท่านั้น และตัวย้ายข้อมูลเป็น 0 การแก้ไขตัวย้ายข้อมูลต้องมีการล็อกเวลา แล้วจะทำอย่างไร (คำถามนี้กวนใจฉันอยู่พักหนึ่งจริงๆ)
คำตอบคือ: หลังจากปรับใช้สัญญาและก่อนที่จะเพิ่มการล็อกเวลา ฝ่ายโครงการได้เปลี่ยนผู้ย้ายข้อมูลเป็นที่อยู่ของตัวเอง และได้รับค่าเผื่อของโทเค็นทั้งหมดในนั้นล่วงหน้าผ่านการอัปเกรดล่วงหน้า จากนั้นจึงเปลี่ยนกลับเป็นผู้ย้ายข้อมูลเพื่อเพิ่ม ล็อคเวลา
เนื่องจาก tx เหล่านี้ผสมกับ tx ที่เพิ่มลงในพูลโดยฝั่งโครงการ จึงเป็นไปไม่ได้ที่คนธรรมดาจะตรวจสอบทุก tx ก่อนลงพูล ดังนั้น popcornswap จึงสามารถขโมยโทเค็น 2 ล้านโทเค็นได้ภายใน 2 ชั่วโมง
วิธีดำเนินการนี้ได้กระตุ้นความคิดของฉันด้วย ในปัจจุบัน ไม่มีเครื่องมือที่มีประสิทธิภาพที่สามารถตรวจจับโทเค็นที่อนุญาตไปยังที่อยู่อื่นในที่อยู่สัญญาได้ ดังนั้น จึงเป็นเรื่องยากมากที่จะค้นหาปัญหา ผู้ใช้ทั่วไปไม่มีความสามารถและไม่น่าจะค้นพบเงื่อนงำนี้แม้แต่ฉันเชื่อว่าในเหตุการณ์นี้คนขับรถขุดดินเก่าบางคนที่เข้าใจรหัสสัญญาก็ล้มคว่ำเช่นกัน
ติดตามความคิด
หลังจากการเปิดเผยของวิธีการทำงาน เชื่อกันว่าในอนาคตเหมืองใต้ดินมีแนวโน้มที่จะใช้วิธีการที่คล้ายกันเพื่อขโมยเหรียญ แต่สำหรับผู้ใช้ทั่วไป มันยากที่จะป้องกัน อันที่จริง มีเหมือง 2 แห่งที่พลิกคว่ำเมื่อ bsc ใน ผ่านมา 2 วันแล้ว ยอดไม่เยอะ ตัวเล็ก
ในฐานะที่เป็นเครือข่ายการแลกเปลี่ยนสาธารณะ ไม่ว่าจะเป็น bsc หรือ heco ความสามารถในการแข่งขันหลักของพวกเขาคืออะไร? มีการกระจายอำนาจหรือไม่?
ส่วนตัวไม่คิดอย่างนั้น
bsc, heco ฯลฯ ข้อดีที่ใหญ่ที่สุดของพวกเขาควรเป็น 1. ค่าธรรมเนียมการจัดการต่ำ 2. การรับรองความน่าเชื่อถือของการแลกเปลี่ยน
