以太坊再爆安全漏洞：多个可交易ERC20币种存严重安全隐患，可人为操纵币价套利

PeckShield调查发现，名为“tradeTrap”的智能合约漏洞波目前已知有700多个ERC20币种存在此类问题，其中也包括 AI、SUB、NTO、TGT、FC、TBT 等 Token在内已经在包括火币以及OKex在内的主流交易所公开上线交易，且交易量巨大。其中最大币种市值已达1.5亿美金，全部币种共影响波及数十万投资者。

此漏洞是今年发现的影响用户数量最大、涉及币种最多、涉及交易所最多的安全漏洞，据悉该漏洞可能有意或无意被开发人员预留在智能合约中，如被黑客滥用，“攻击者”可通过公开的接口，以“零成本”技术手段实施割韭菜套利行为。

根据PeckShield公布的细节，攻击者可使用如下两种技术手段来操纵币价：

问题一：项目owner可无限增发Token

存在问题的ERC20币种智能合约有一个仅owner可调用的方法：

mintToken，这个可被 owner用于增发token。通常一个项目在上交易所之前即预售期，增发行为尚算合理，项目方定向空投一些Token给特定地址，目的是为了激励社区用户参与活跃度。但在交易所上线可正常交易后，此种借助智能合约的增发行为会让项目owner空手套利，会严重影响市场平衡。

糟糕的是，我们已经发现有10余种存在此类问题的可交易Token，他们存在于23个包括OKex这样的知名交易所，且目前交易量巨大，一旦被利用可以影响数以万计的投资者。

以下为披露此信息时，已经发现的10个存在此问题的Token。

安全问题二：可操纵的价格和不公平的套利行为

存在问题的ERC20币种的智能合约有三个可调用方法：

1) setPrices: 仅owner可访问，用来调整通过方法buy以及sell进行的token的买卖价格 (即buyPrice / sellPrice)；

2) buy: 公开且任意可访问方法，根据buyPrice购买token；

3) sell: 公开且任意可访问方法，根据sellPrice购买token。

为描述方便起见，我们将buyPrice /sellPrice称之为owner可操纵价格，并将token在交易所的价格称为市场价格。

按理说，一个币种上交易所后，交易走量都需要通过交易平台，成交时的买卖价格也是和市场保持同步的。然而，我们发现项目owner可以通过智能合约任意修改买入价和卖出价，完全不需要依照市场价格。这样一来“套利”空间就有了，套利者可以在 Token市场价格略高通过接口定一个较低的买入价，然后再以市场价格卖出，套利者还可以用市场价格买入Token，再设定一个比市场价格高的价格卖出。不管怎样，这是一种干涉市场对流通Token“定价权”的行为，严重点讲已经控制了市场，对市场上其他投资者 而言存在极大的不公平。

截至目前为止，已发现9个可交易的token，在26个交易所上线交易。其中如SUB、INT 和SWFTC等token都在主流的交易所上线并拥有巨大的交易量和影响力。

以下为披露信息时，我们已经发现的9个存在此问题的Token：

◆ ◆ ◆ ◆ ◆

通常来讲，传统股票证券市场存在这样的“割韭菜”套路，幕后大庄通过周期性低拉高抛来制造市场震荡来收割韭菜，利用的是不少散户投资者盲目追涨杀跌的心理。大多数情况下，数字货币市场的大部分割韭菜行为也是基于此市场化操盘来实现。我们最新发现的此种借助 智能合约漏洞割韭菜的方式，不经过市场，以技术手段进行零成本收割，对数字货币市场的稳定性威胁极大。

在数字货币世界，交易所控着着数字货币资产的流进和流出，作为中转枢纽，交易所自诞生以来漏洞和安全事件就层出不穷，数年来，围绕交易所出现的黑客攻击事件，已造成超百亿美元的损失。

而最近，更是有交易所随意上币，完全不走投票上币的流程。玉红借助三点钟社区影响力开发的纯概念社区币XMX上线了火币、没有任何实质信息的BEC上线了OKEx，市场中漫天飞上币宣传和一夜暴富的讯息，投资者看到的是真假难辨的消息，而其中隐藏的利益相关、内幕交易、无底线炒作却如毒瘤，为各种区块链安全事件埋下伏笔。

区块链的核心意义是去中心化，但在币圈，交易所却成了“中心化”的黑洞。交易所的安全问题，遇到一个处理一个，但在预防和第一时间通知用户止损的方面，却鲜有进步。屡次爆出的智能合约漏洞问题，仅仅是修复后恢复上线，而为此付出代价的，永远是看着资产缩水却毫无办法的投资者们。