多个交易所流通币种曝重大安全隐患，“攻击者”可人为操纵币价套利

原标题：多个交易所流通币种曝重大安全隐患，“攻击者”可人为操纵币价套利众所周知，交易所控制着数字货币资产的流进和流出，作为一个数字资产中转枢纽，交易所自诞生以来漏洞和安全事件就层出不穷。数年来，围绕交易所出现的黑客攻击事件，已造成超百亿美元的损失。然而，这仅仅是明面上技术漏洞诱发的黑客攻击事件，还有很多暗地里利用技术手段赤裸裸割韭菜的幕后黑手行为。近日，区块链安全公司PeckShield向包括火币、币安以及OKex等在内的多个主流交易所发出安全警报称：多个已经在主流交易所上线的ERC20币种的智能合约代码存在严重的安全隐患，“攻击者”可通过公开的接口，以“零成本”技术手段实施割韭菜套利行为。3月份，数名购买OKex数字货币期货的用户齐聚OKcoin公司，质疑OKex存在操纵交易嫌疑，频繁爆仓导致他们被“多空双杀”；5月份在火币交易平台，有多个币种短时暴跌，跌幅超过50%，然后又被迅速拉回，导致大量杠杆交易用户爆仓，损失惨重。这些项目方质疑火币在平台内设置多余数据账户，然后修改币种的交易数据进行抛售，把币种的价格砸到白菜价后再出钱回收，最后实现零成本割肉。这些受害的“投资者”在惨遭割韭菜之后群情激愤，欲把敌敌畏撒向徐明星以及李林。然而，这种情况下，交易所其实是无辜的，因为操纵智能合约漏洞的幕后黑手，可能是项目方本身，也可能是交易所，还有可能只是一个背后操盘的黑客，准确说任何洞悉代码漏洞的人都可以借机实现收割。“幕后黑手”究竟如何使用技术手段进行血淋淋收割的呢？PeckShield研究人员发现，这些ERC20币种代码中存在三个明显安全问题：安全问题一：项目方可肆意增发Token通常一个项目在上交易所之前即预售期，项目方为了激励社区用户参与活跃度，会定向空投若干代币给一些特定地址。如图一132行代码所示，项目owner可以选定一个地址，任意设定一个Token额度。倘若该项目已经在交易所上线了，价格已经有一定上涨，这时如果项目方突然向某个地址转入了一笔巨额Token，该地址几乎以零成本拿到了一定量的Token，这势必会严重影响该币种的市场价格平衡性。糟糕的是，目前已经发现有10余种存在此类问题的可交易Token，他们存在于23个不同的交易所当中，包括Binance和OKex这样的顶级交易所，而且交易量巨大，一旦被利用可以影响数以万计的投资用户。安全问题二：可操纵的价格和不公平的套利行为正常情况下，一个币种上交易所后，交易走量都需要通过交易平台，成交时的买卖价格也是和市场保持同步的。然而，我们在图二代码中发现，项目owner可以通过智能合约任意修改买入价和卖出价，完全不需要依照市场价格。这样一来“套利”空间就有了：套利者可以在Token市场价格略高时，通过接口定一个较低的买入价，然后再以市场价格卖出；套利者还可以用市场价格买入Token，再设定一个比市场价格高的价格卖出。不管怎样，这是一种干涉市场对流通Token“定价权”的行为，对市场上其他投资者而言存在极大的不公平。目前已经发现有9个在市场上流通的Token，同样存在于诸多主流交易所平台中。安全问题三：交易陷阱透过问题二，我们知道项目owner可以通过更改买入和卖出价格来实现套利，这是智能合约赋予项目owner的特有权限。但由于智能合约是开源和透明化的，项目方的一举一动其实大家都能看的到，但大家却无法拿捏项目owner会合适更改价格。这就涌现一个交易陷阱，项目owner可以先更改以较低的卖出价，待投资者看到之后欲抢购挂单后的瞬间再次更改价格，这样以来，投资者的钱花出去了，但买到的Token量却远不及预期，只能自认倒霉吃个哑巴亏。通常来讲，传统股票证券市场存在这样的“割韭菜”套路，幕后大庄通过周期性低拉高抛来制造市场震荡来收割韭菜，利用的是不少散户投资者盲目追涨杀跌的心理。一开始数字货币市场的大部分割韭菜行为也是基于此市场化操盘来实现，但成也智能合约，败也智能合约，数字货币市场由于是基于智能合约运行的，很难避免一些代码错误，因此还存在一种借助智能合约漏洞割韭菜的方式。这种方式近乎零成本，洗劫个人财富更是于无形之中。传统领域《证券法》有相关规定，禁止利用资金、持股优势操纵证券交易价格，禁止与他人串通约定相互买卖影响交易价格和交易量，禁止自买自卖影响交易价格和交易量，禁止利用内幕信息或虚假信息操作交易价格等等。进入2018年，数字货币种类已经超过1200种，总市值一度超过5万亿人民币，数字货币市场规模和体量已经很庞大，任何市场波动和安全漏洞牵扯的都是一笔巨额数字资产，损失也会波及数十万投资者。然而，数字货币市场并没有成型的法律监管体系，一些操控市场的现象没有相应的法律来严惩。当务之急，交易所应当提升安全护卫意识，担起保护投资者财产的责任，将安全隐患风险控制在最小范围之内。交易所该如何做呢？其一、向去中心化方向转型。现在中心化的交易所平台，其实是于区块链技术的去中心化共识机制有所背离的。而去中心化交易所将资产托管、撮合交易、资产清算都放在了区块链上，基于开源的智能合约来实现，这样就避免了一遭遇亏损就找交易所负责人泼敌敌畏的尴尬。其二、做好智能合约审计。我们得认识到智能合约的可为和不可为，智能合约能化解不少中心化管理方式存在的信任失衡，但由于其形态就是一段程序，是程序就难免出现bug，有了bug投资者就会蒙受损失，而智能合约却无法担责。一个较好的对策是交易所应加强上币门槛，严查智能合约安全漏洞，尽可能把一切风险阻挡于上币前。即使上币后也应加强应急响应，一旦监测到异常交易情况，就应该对相应币种做违约标记，广播整个数字货币网络，从而降低资产的流通性损失。总之，交易所不仅要担当其撮合交易的技术平台，更要建立护航交易的技术守护者形象。------------------------原创文章转载请署名，欢迎技术从业人员加入“区块链啄木鸟”知识星球，ID 79413906.作者目前从事区块链安全生态研究 微信号：tmel0211