北京
周三下午，一位開(kāi)發(fā)者在GitHub上發(fā)現(xiàn)了一份智能合約審計(jì)報(bào)告。封面上印著醒目的綠色徽章，底部是知名安全公司的簽名。他放心地往合約里存了50萬(wàn)美元。三小時(shí)后，資金被抽干。
問(wèn)題出在審計(jì)本身。那份報(bào)告只覆蓋了合約的V1版本，而項(xiàng)目方悄悄部署了未經(jīng)審計(jì)的V2?；照率钦娴?，但保護(hù)范圍被刻意模糊。
更隱蔽的手法是"時(shí)間差攻擊"。審計(jì)公司在A日期完成檢查，項(xiàng)目方在B日期引入新漏洞，卻繼續(xù)使用A日期的徽章。普通用戶(hù)幾乎不可能追蹤版本哈希。
部分審計(jì)機(jī)構(gòu)開(kāi)始提供"持續(xù)監(jiān)控"服務(wù)，將靜態(tài)報(bào)告升級(jí)為動(dòng)態(tài)驗(yàn)證。但這需要額外付費(fèi)，多數(shù)項(xiàng)目方選擇最便宜的套餐——恰好足夠拿到徽章發(fā)朋友圈。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺(tái)“網(wǎng)易號(hào)”用戶(hù)上傳并發(fā)布，本平臺(tái)僅提供信息存儲(chǔ)服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
