比特币价格·比特币行情
首发 | Mercurity.finance智能合约安全漏洞分析
今年美国大选虽说有了广泛意义上的尘埃落定，但竞选结果并未明确。
如今拜登团队宣布胜选，美国媒体纷纷宣布拜登当选下届美国总统。而另一方面，川普拒绝接受败选结果，他持续进行计票，并宣称要采取法律行动。
造成如今这个混乱结果的首要原因在于美国没有设立独立的对大选事务具有权力的权威性的选举委员会，在默认情况下，是新闻机构承担了这个角色。假如川普获得过大的权力，控制了大多新闻机构，营造虚假选票，结果尚未可知。
这就意味着某种程度上，可以说是极尽中心化的“推特治国”后的又一“媒体选举”。
从选举，到互联网，到区块链，2020年，中心化不再是权威的体现，而是“独断”、“专权”的代名词。
北京时间11月9日，CertiK安全研究团队发现DeFi项目Mercurity.finance智能合约代码部分存在中心化风险。
项目拥有者拥有过大权限，可以进行任意数目的铸币，并为给定账户提供任意数目的奖励。
技术步骤分析如下：
ERC20Token.sol
代码地址：
https://github.com/MER-DAO/MEE-core/blob/main/contracts/tokens/ERC20Token.sol
部署地址：
https://etherscan.io/address/0xe1b583dc66e0a24fd9af2dc665f6f5e48978e106#code
图一: ERC20Token智能合约构造函数
图二：onlyIssuer修饰词
图三: 具有铸币方法的issue函数
如图一所示，项目拥有者在ERC20Token.sol智能合约中的构造函数可以将自身设置为issuer身份。由于在智能合约部署时，其构造函数会被自动执行，因此项目拥有者会自动成为issuer。
通过图二中显示的onlyIssuer修饰词的限制，任意拥有issuer身份的外部调用者将可以执行任意被onlyIssuer修饰词修饰的函数。
因此，拥有issuer身份的项目拥有者可以执行图三中具有铸币方法的issue函数，从而可以为任意账户铸造任意数目的代币。
除此之外，该项目还存在一个允许项目拥有者提供代币奖励的后门。该后门存在与AwardContract.sol智能合约中。
AwardContract.sol
https://github.com/MER-DAO/MEE-core/blob/main/contracts/AwardContract.sol
https://etherscan.io/address/0x8Ea43ce113456f45defd0E27e809d719b9CA2362#code
图四：AwardContract智能合约构造函数
图五：onlyGovernor修饰词
图六：addFreeAward智能合约函数
当AwardContract.sol被项目拥有者部署到区块链上时，AwardContract合约的构造函数会被自动执行，也就意味着图四中43行代码被自动执行后，项目拥有者会自动被赋予governor身份。
拥有governor身份的外部调用者可以类似的执行任意被onlyGovernor修饰词修饰的智能合约函数，例如图六中所示addFreeAward函数。
由于所有外部调用者都可以通过调用图七中withdraw函数来将属于自己的奖励取出，因此当governor身份的外部调用者为某一个账户（假设为A）添加了某一数量的奖励后，A账户可以对该函数进行调用，并通过246行的判断条件检查后，通过在281行调用safeIssue()函数来取出被添加的奖励。
图7：withdraw智能合约函数
综上分析，Mercurity.finance项目中智能合约存在的后门漏洞均来自于项目拥有者权限过大。在该类中心化治理机制中，项目拥有者得到了可以随时获利或者摧毁项目经济系统的权利。
CertiK安全研究团队建议Mercurity.finance更新项目中采用的治理系统，引入社区管理的机制。
CertiK在此提醒广大用户：
1. 合约代码需要经过严格的安全验证和审计才可被允许公布。
2. 投资者在投资采用中心化治理机制的项目时需衡量风险，谨慎投资。
《精灵达人3D》正式首发 Cocos-BCX 主网:据官方消息，近日，由生态合伙人 DAPPX 参与开发的《精灵达人3D》正式首发于游戏公链 Cocos-BCX 主网。《精灵达人3D》是一款以精灵宝可梦为题材的抓宠游戏，游戏美术采用全3D 制作。用户可通过 CocosWallet ， DAPPX 或 IMCOCOS 登录 COCOS 主网账号即可体验。截至目前，Cocos-BCX 主网已上线《加密骑士团》《恶龙必须死》《XPEX怪兽世界》《Go Block》《可可夺币》《熊猫运动会》等多款玩法多样的趣味性链游，游戏公链生态在逐步壮大和完善。[2020/8/20]
首发 | Bithumb将推出与Bithumb Global之间的加密资产转账服务:Bithumb内部人士对金色财经透露，Bithumb推出和Bithumb Global之间的加密货币资产免手续费快速转账服务，每日加密货币资产转账限额为2枚BTC。此消息将于今日晚间对外公布。据悉，目前仅支持BTC和ETH资产转账。[2020/2/26]
首发 | 《一起来捉妖》中玩家达到22级将会接触到专属猫的玩法 :今日腾讯上线首款区块链游戏《一起来捉妖》，经金色财经查证，游戏中玩家达到22级将会接触到专属猫的玩法，而非此前官方对外宣称的15级。除了诱猫铃铛召唤出的0代猫以及部分通过运营活动奖励的专属猫以外，游戏中所有的猫默认都是未上链状态。未上链的猫不能出售，也无法进入市场与其他玩家配对；但是你可以使用这些猫与你的QQ/微信好友进行配对，产出新的小猫。使用道具“天书笔”可以将你的猫记录到区块链。当猫被记录到区块链以后，这些猫就可以进入市场，通过配对赚取点券，或者出售赚取点券。专属猫是否上链，并不影响它的增益效果。但只有上链后，它才能面对全服务器所有的玩家进行繁殖、交易。 \n \n《一起来捉妖》中的专属猫玩法，基于腾讯区块链技术，游戏中的虚拟数字资产得到有效保护。此外，基于腾讯区块链技术，猫也可以自由繁殖，并且运用区块链技术存储、永不消失。[2019/4/11]
标签：
区块链热门资讯
金色财经近期推出金色硬核（Hardcore）栏目,为读者提供热门项目介绍或者深度解读。近期很多投资者认为是这一轮比特币牛市是华尔街机构牛。Coin Metrics最新文章用华尔街开市和休市期间比特币价格的小时数据检视了这一观点。
2020/12/12 20:08:03这几年,学术和产业界对区块链的理解和应用产生了大量误区,本人也在过去的文章中逐步澄清和重新定义。不过,总觉得意犹未尽,没有专门立题成章。最近由于正在设计分布式产业协作模型,每到区块链技术运用精妙之处,觉得需要有系列文章来逐一解释这些误解。希望通过本人的反复倡导,可以为区块链产业运用提供更多的方案和定义。
2020/12/12 20:07:57北京时间9月29日,CertiK安全研究团队发现Yearn.finance的新项目Eminence.finance出现异常交易。有三笔共计价值约1.09亿人民币的资金,被从Eminence智能合约中转出,地址为：0x5ade7ae8660293f2ebfcefaba91d141d72d221e8。
2020/12/12 20:07:53北京时间11月12日,CertiK安全研究团队发现DeFi项目text.finance智能合约代码部分存在安全漏洞。 分析之前,先考考大家的眼力,看看下图里面的文字说了什么。 如果看不清,不妨点击图片后把屏幕亮度调至最高。 有的时候,某些不想让你看到的因素,正是通过排版或者这样的方式,被刻意隐藏了起来。 接下来说说该项目中存在的两处漏洞。
2020/12/12 20:07:42北京时间2020年11月20日, Telegram社群出现某些截图声称Keep3rLink接受了CertiK的审计服务。 在此,CertiK郑重声明：CertiK团队从未对 "Keep3rLink" 项目进行过任何审计。 同日,CertiK安全研究团队发现Keep3r项目存在中心化安全风险。
2020/12/12 20:07:36八千万人民币的大案子,是不是想起了《人民的名义》里那一墙的人民币？ 在日常生活里,也许你不小心疏忽遗失了钱包也丢不了太多钱。但在加密货币的世界中稍有不慎,损失的金额也许是一把撒出去遮天蔽日的那种效果。 在层出不穷的矿坑中,一着错漏,满盘皆输。往往项目拥有者与投资者一样,心心念念记挂着自家项目的安全性。
2020/12/12 20:07:31
