近日，FAIRWIN 智能合約存在漏洞這一問題引起各方關注，FAIRWIN 作爲近日以太坊鏈上交易量最高的資金盤模式應用，在以太坊鏈上還存在大量類似的克隆盤，如果存在隱藏漏洞會給公鏈帶來較大風向，因此成都鏈安安全人員對 FAIRWIN 智能合約展開了深度分析，分析結果如下：
通過對 FAIRWIN 合約代碼進行審計，我們發現其合約存在一個 remedy() 接口，如果合約 owner 沒有通過 close() 關閉接口時，該接口可以被任意用戶調用，並且可以通過這個接口僞造投注數據，實現“無中生有”，在不使用任何資金的情況下僞造了充值記錄，之後攻擊者便可以享受分紅，或者通過 userWithDraw() 將餘額全部提出。
通過鏈上記錄，我們發現項目方已於 2019 年 7 月 28 日（合約上線第二天）通過 closeAct （）關閉了該接口。
通過成都鏈安 Beosin-AML 系統分析項目方所有的交易記錄，我們進一步分析是否已經存在攻擊者插入投注數據成功的情況。通過分析發現，該漏洞已被嚴重濫用。
從十天前到現在爲止，陸續有賬戶嘗試調用 remedy() 接口來插入投注數據，不過由於該操作已被關閉，導致插入數據失敗，可以看到插入金額都是幾萬 ETH。
插入失敗記錄：
通過完整追溯，我們總共發現 503 條插入成功的交易記錄（500 個地址），且插入日期都在項目方關閉接口之前。經統計，這 503 條交易全部由地址 0xcb104fA25a1a46040DBaB9F554FF564CE325668b 發起。
通過統計得出總共插入了 5093 個 ETH，其中包括 4711 個凍結 ETH，382 個未凍結 ETH。並且攻擊者通過插入投注記錄設置的 500 多個小號已經進行過提現操作。
通過進一步分析其合約部署情況發現，在項目方關閉 actStu 的前一天，也就是 2019 年 7 月 27 日，項目方剛剛部署 FAIRWIN 合約，在短短一天時間不到之內，項目合約之內便無中生有了 5000 多個 ETH。
7 月 29 日，以太坊瀏覽器顯示合約進行了開源。
Beosin 媒體矩陣
|
官網
—|—
|
GitHub
https://github.com/Lianantech/VCA
|
BeosinChengdu/
—|—
|
https://twitter.com/Beosin_com
|
Telegram
https://t.me/LiananTech_cn （中）
https://t.me/LiananTech_en （英）
—|—
|
微博
https://weibo.com/u/6566884467
|
CSDN 博客
https://blog.csdn.net/CDLianan
—|—
|
官方電話
028-83262585
|
官方郵箱
—|—
|
官方地址
成都 HQ ：成都市世紀城南路 599 號天府軟件園 D7 座 504 室
北京 Base ：北京市朝陽區廣順北大街 36 號夢想加空間 305 室
深圳 Base ：深圳市南山區訊美科技廣場 3 號樓 16D
繁體中文
简体中文
English
日本語
Español