12月05日，新上线的又一款EOS竞猜类游戏Fastwin遭到黑客攻击，区块链安全公司PeckShield态势感知平台捕捉到了该攻击行为并率先进行了安全播报披露。数据显示，当天凌晨03:18—04:15之间，黑客向Fastwin游戏合约发起124次攻击，共计获利1,929.17个EOS。PeckShield安全人员分析发现，该攻击行为是黑客利用Fastwin的合约在校验合约调用方时存在的漏洞，导致「内联反射」攻击成功。
据研究，截止11月底，已经发生了超27起EOSDApp安全事件，主要集中在假EOS攻击、随机数问题等攻击方式，且在不断升级演变。而这次看似较小的攻击事件背后却暴露出了一个较以往危害性可能更大的新型漏洞：EOSIO官方系统对调用合约自身函数存在不校验权限的问题。
区块链被用于存储来自火星的模拟外星信息:金色财经报道，搜索外星智能研究所(SETI)最近与去中心化数据存储市场Filecoin合作，以存储来自火星的模拟外星信息。该项目名为“太空标志”，旨在模拟使用欧洲航天局目前环绕火星运行的ExoMars微量气体轨道飞行器向地球传输外星编码信息的表演。设计此表演的目的是让对解码和解释信息感兴趣的社区参与进来，弥合不同的文化和专业领域。[2023/5/31 11:49:18]
图一，PeckShield与Block.one邮件沟通
PeckShield认为这是一个非常严重的漏洞，并第一时间通知了Block.one团队。Block.one官方团队接受了该漏洞提议，并告知我们有其他研究团队也事先独立汇报了该漏洞，最终于周四更新了紧急补丁以补救防御，同时次日新发布1.5.1和1.4.5两个版本，完成了该漏洞修复，避免了更多攻击事件的发生及可能造成的资产损失。
火星区块链成为获得新加坡金融管理局豁免权的区块链金融公司:近日，新加坡金融管理局（MAS）正式公布在新支付法案下获得支付服务豁免许可的企业名单，火星区块链海外分公司Wisdom International Capital Pte Ltd位于其列。除之前已经取得的跨境国际支付执照以外，火星区块链还取得了E-money电子货币发行许可、数字资产支付和交易许可，成为取得MAS监管当局多种牌照的区块链金融公司。
火星区块链集团致力于区块链技术研发、商业应用开发、数字资产管理、区块链媒体服务等。集团总部位于新加坡，目前运营产品包括星传媒、1SG稳定币、火星隐私公链、数字资产管理等。[2020/3/27]
「内联反射(inlineReflex)」攻击原理
声音 | 火星人许子敬：数字货币流动性已超石油黄金等主流资产 区块链世界才刚刚开启:火星人许子敬发微博称，币安收购JEX，三大交易所火币、OK和币安都杀入了期货市场，在现实世界里，衍生品市场比现货市场要大一百倍，数字货币在十年之后，流动性已经赶超了石油、黄金、外汇等主流资产。传统的CFD合约提供商也开始接入比特币，金融产品越来越丰富，区块链世界才刚刚开启。 ????[2019/9/3]
正常的转账流程如图所示：玩家通过调用系统合约(eosio.token)，将EOS转账给游戏合约，触发游戏合约的分发逻辑(apply)，进而调用相关函数实现开奖。
图二，竞猜游戏正常转账流程
而此次的攻击者(ha4tsojigyge)，在自己帐号部署的合约中包含了与游戏合约相同的操作函数，在转账完成后，自行开奖获得奖金。如图所示：
图三，攻击者内联调用自身合约开奖
从图中可以看出，攻击者在自身合约的函数中，内联调用了与游戏合约开奖同名的函数，再通过通知的方式将信息发送到了游戏合约。此时游戏合约的分发逻辑没有过滤掉此信息，并调用了开奖函数。
总之，攻击者利用了EOSIO系统中对调用合约自身函数不校验权限的漏洞，进而使用游戏合约的帐号权限发起内联调用，致使绕过游戏合约在敏感函数中校验调用者权限的方法，从而获取了游戏合约发放的奖励。
修复方法
从上述分析能够发现，攻击者合约的通知信息中，实际调用的合约是攻击者合约，而非游戏合约，因此在游戏合约的分发逻辑中过滤掉此类信息即可。而且从系统定义的宏中能够看到，分发逻辑处理了此问题。因此PeckShield在此提醒开发者在定制化自己的分发逻辑时，需要特别注意其中的调用来源。
图四，系统EOSIO_DISPATCH代码
深层次及兼容性问题
需要强调的是：这个问题属于EOS公链层的较大漏洞，攻击者在内联调用中可以伪造任意帐号的权限执行，但这个修复可能会给部分开发者造成兼容性问题，如合约内联调用函数，而执行者帐号不是自己的时候，会导致整个交易执行失败，如需解决兼容性问题请给合约赋予执行者帐号的eosio.code权限。
本文来源于非小号媒体平台：
PeckShield
现已在非小号资讯平台发布1篇作品，
非小号开放平台欢迎币圈作者入驻
入驻指南：
/apply_guide/
本文网址：
/news/3627092.html
游戏链游
免责声明：
1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险
2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场
上一篇：
区块链如何助力数据共享隐私保护？
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。