Binance Smart Chain 다중 프로젝트가 도망가고 PopcornSwap이 40,000 BNB를 쓸어버렸습니다. 거래소의 퍼블릭 체인이 "당황"한 이유는 무엇입니까?
Wu는 저자를 말했다 | Colin Wu
이번 호의 편집자 | Colin Wu
Wu는 저자를 말했다 | Colin Wu
이번 호의 편집자 | Colin Wu
최근 많은 액체 "채굴자"가 Wu Shuo 블록체인에 Binance Smart Chain의 또 다른 DeFi "지구 광산" 팝콘 스왑이 사라졌고 프로젝트가 약 215만 달러에 달하는 48,000 BNB에 접근했다고 말했습니다. 3개의 추가 프로젝트(Zap Finance 및 Tin Finance, SharkYield)가 며칠 내에 종료되었습니다. 현재 SharkYield는 도망쳐 6,000 BNB를 빼앗은 것으로 보입니다.
Binance는 보안 팀이 밤새 popcornswap 프로젝트를 "추적"하고 있지만 성공적으로 복구하지 못할 수 있다고 말했습니다. 바이낸스의 이전 프로모션 기사에서도 복구는 확률이 낮은 이벤트이며 사용자는 신중하게 투자하고 참여할 고품질 주요 프로젝트를 선택해야 한다고 밝혔습니다.
이 팝콘스왑 폭주 이벤트에는 두 가지 문제가 있습니다.
1. 채굴자들의 피드백에 따르면 바이낸스는 USDT(Tether를 통해)와 BUSD는 동결할 수 있지만 BNB는 동결할 수 없기 때문에 실행 중인 프로젝트에서 BNB를 대규모로 사용하기 시작했습니다.
2. 바이낸스는 앞으로 바이낸스 스마트 체인 커뮤니티가 배포된 고품질 프로젝트에 대한 감사 서비스를 순차적으로 제공할 것이며, 감사된 프로젝트와 감사되지 않은 프로젝트를 구분하는 표시가 있을 것이라고 말했습니다. 하지만 지금까지 감사 표시가 나타나지 않아 감사 기관의 높은 비용과 시간이 방해가 될 수 있습니다.
바이낸스의 이전 피드백은 BSC가 이더리움과 동일한 퍼블릭 체인이며 위 프로젝트에 대해 책임을 지지 않아야 한다는 것이었습니다. He Yi는 다음과 같이 말한 적이 있습니다. Binance Smart Chain 프로젝트는 Binance에서 개발하지 않았으므로 V God에게 Ethereum 채굴 손실에 대한 보상을 요청하는 것이 어떻습니까?
그러나 한편 바이낸스는 사용자가 자산을 복구할 수 있도록 돕기 위해 홍보하고 있습니다. 예를 들어 AMM(Automatic Market Maker)의 "어스 마이닝" 프로젝트인 Wine Swap이 도주했고 바이낸스 보안 팀은 사용자가 손실된 자금의 99.9%를 복구하도록 도왔습니다. Binance는 또한 이러한 추구에는 많은 인력과 물적 자원이 필요한 경우가 많으며 이러한 추구의 단서가 중단되는 경우가 많다고 밝혔습니다.
결과적으로 Binance는 당혹스러운 상황에 빠질 것입니다. 실행 중인 프로젝트를 관리해야 합니까 아니면 무시해야 합니까? 사용자도 이것에 대해 질문을 할 것입니다. Binance는 그것에 관심이 있습니까?
BSC 프로젝트의 논리는 잘 개발된 프로젝트인 CZ가 리트윗을 한 후 관심을 끌며 점차 성장한다는 것입니다. 반대로 Huobi 생태 체인은 중앙화 수준이 높고 등록 프로젝트가 상장되며 도망가는 경우가 적습니다. 바이낸스 스마트 체인은 "심판이 되지 않기"를 희망합니다.
Huobi의 프로젝트와 사용자는 대부분 중국인이기 때문에 중앙 집중식 관리 및 제어를 선택해야 합니다.Huobi는 프로젝트 실행에 대한 자세한 비상 계획을 가지고 있으며 여러 소규모 프로젝트를 즉시 처리했다고 합니다.
인용하다
바이낸스 스마트 체인(BSC)의 야망과 당혹감: 이더리움을 넘어서거나 Sun Yuchen이 되겠습니까?
다음 내용은 iNexusPro가 Wu Shuo 블록체인을 출시하기 위해 독점적으로 승인한 내용이며 내용이 약간 편집되었습니다.
일반적으로 지구 광산에서 자금을 인출하는 데는 몇 가지 단계가 있습니다.
1. 높은 APY를 사용하여 충동적인 스터드를 끌어들입니다(많은 도둑의 토양 광산은 APR로 작성되어 더 높게 보이고 안정성을 추구하기 위해 APR의 토양 광산을 사용하면 직접 닫을 수 있음) 결국 높은 APY는 실제 금과 은이 지원하는 , 이렇게 높은 수익률을 가진 거물들은 일찌감치 나타났습니다. 속담처럼 수익률이 높을수록 위험도 커집니다.
2. "소위" 보안 조치(타임록 등)를 통해 위험이 매우 낮다고 느끼게 합니다.
3. 자금을 훔친 직후 non-erc 토큰이나 동결이 불가능한 토큰으로 교환한 후 코인이 빠져나갈 기회를 기다리세요.
이 단계를 본 후 다음을 이해할 수 있습니다.
1. 그의 APY가 아무리 매력적으로 쓰여도 오픈 소스 토양 광산은 건드리지 않을 것입니다.
2. 오픈소스 토양광산에 참여하려면 diff 컨트랙트에서 가변 매개변수를 확인한 후 소액의 자금으로 참여해야 합니다. (단, 팝콘스왑 등의 위험이 있을 수 있으며 이에 대해서는 추후 자세히 설명)
3. 나는 당신이 대부분의 위험을 피할 수 있다고 믿습니다 계약을 구별하는 방법, 매개 변수를 확인하는 방법 및 일부 파생적 사고에 대해 간략하게 이야기하겠습니다.
첫 번째 단계: 차이
온라인 비교 도구 https://www.diffchecker.com/을 예로 들어 보겠습니다.
https://bscscan.com/address/0x73feaa1ee314f8c655e354234017be2193c9e24e#code
diff 컨트랙트는 실제로 코인을 전송하려는 컨트랙트 주소여야 합니다(주소를 얻기 위해 아주 적은 양을 전송할 수 있음).
https://bscscan.com/address/0x584527ded17aceb3dc617c40b04e8fe9afc57096#code
먼저 원본 MasterChef 코드를 가져옵니다(여기서는 팬케이크 스왑을 예로 들었습니다).
다음은 popcornswap의 예입니다.
코드를 양쪽에 별도로 복사하고 diff를 시작하십시오.
여기에 diff 결과를 저장했습니다. https://www.diffchecker.com/VqaCP3DK 링크를 직접 클릭할 수 있습니다.
결과의 문자열(이름 등) 또는 //(주석) 이후의 내용과 같은 수정은 무시할 수 있습니다.
위와 같이 무시할 수 있습니다.
원래 버전에서 추가된 코드라면 일반적으로 흙개가 삭제하는 것이 중요하지 않으며 요점은 흙개 코드가 원래 버전과 다르다는 것입니다.
위의 그림은 주요 차이점을 보여줍니다.Tugou는 원래 migrator 방법을 수정하고 preUpgrade라는 기능을 추가했습니다.
이를 보시고 계약에 대해 아무것도 모르시면 직접 페이지를 닫으시면 보안기간 동안 안전하게 보관하실 수 있습니다.
다음은 차이점에 대한 간략한 분석입니다. 먼저 마이그레이션 방법입니다. 이것은 sushiswap에서 상속된 코드입니다. 안정성을 위해).
여기 팝콘에서 새로운 preUpgrade 메서드는 public입니다. 즉, 누구나 호출할 수 있습니다.
2단계: 변수 확인
Tugou 계약의 이 버튼을 클릭합니다.
마이그레이터, 소유자 및 기타 변수 확인: (소유자가 핵심임)
Migrator가 0이고 소유자가 타임록 주소인 것을 알 수 있는데, 투고우의 트릭 중 하나는 타임록이 있다고 주장하고 컨트랙트 주소를 주는데 소유자가 타임록의 주소가 아니라는 점이다. 분명히 사기입니다.
물론 타임록 컨트랙트도 작은 행동을 할 수 있기 때문에 diff 연산도 해야 하는데 여기서는 그의 타임록에 문제가 없기 때문에 자세한 설명은 하지 않겠습니다.
https://bscscan.com/tx/0x38f75296e3343228c0309f8c99a24ca4f4812372f2b032f38ce25ac5a992b768
위의 두 단계를 완료한 후 많은 시니어 채굴자들은 타임록이 있고 계약 변수는 문제가 없다고 느낄 수 있습니다.코드에 위험이 있지만 타임록이 있지만 괜찮습니다. 수준의 동네 개라면 정말 쓸모가 없을 수도 있습니다 위험하지만 안타깝게도 팝콘 스왑은 약간 고급 개입니다. 아래에서 훔치는 과정을 분석해 보겠습니다.
프로젝트 당사자는 다음을 호출합니다.
preUpgrade 방법을 사용하면 귀하의 주소가 계약에 있는 토큰의 transferFrom 권한을 가질 수 있습니다(간단한 이해는 유니스왑 트랜잭션 전에 계약이 코인을 사용하도록 허용해야 함을 의미합니다. 여기서는 계약에서 코인을 사용할 수 있도록 허용합니다)
이전 코드를 보면 preUpgrade에 이 기능이 있지만 Migrator에게만 이 권한을 부여하고 Migrator는 0이라는 것을 알 수 있습니다. Migrator를 수정하려면 시간 잠금이 필요한데 어떻게 하나요? (이 질문은 사실 한동안 저를 괴롭혔습니다)
답은: 컨트랙트를 배포한 후 타임록을 추가하기 전에 프로젝트 당사자는 마이그레이션을 자체 주소로 변경하고 preUpgrade를 통해 사전에 모든 토큰의 수당을 얻은 다음 다시 마이그레이션으로 변경하여 추가합니다. 타임록.
이 tx는 프로젝트 측에서 풀에 추가한 tx와 혼합되어 있기 때문에 일반인이 풀 전에 모든 tx를 확인하는 것은 불가능하므로 popcornswap은 2시간 이내에 2mil 토큰을 훔칠 수 있었습니다.
이 작업 방식은 또한 내 생각을 불러 일으켰습니다.현재 계약 주소의 다른 주소에 대한 토큰 허용을 감지할 수 있는 효과적인 도구가 없으므로 문제를 찾기가 매우 어렵습니다. 일반 유저들은 능력이 없고 이 단서를 발견할 가능성이 희박합니다.저도 이번 사건에서 계약 코드를 이해하는 일부 오래된 채굴 드라이버도 뒤집혔다고 생각합니다.
후속 생각
이 수법이 폭로된 후, 나는 미래의 지뢰가 유사한 방법을 사용하여 코인을 훔칠 가능성이 있다고 생각하지만 일반 사용자가 이를 방어하는 것은 불가능합니다. 2일, 금액은 많지 않습니다. 적습니다.
거래소 퍼블릭 체인으로서 bsc든 heco든 그들의 핵심 경쟁력은 무엇입니까? 탈 중앙화되어 있습니까?
저는 개인적으로 그렇게 생각하지 않습니다.
bsc, heco 등의 가장 큰 장점은 1. 낮은 취급 수수료 2. 거래소의 신뢰성 보증입니다.
