近日黑客对KICKICO平台进行攻击，窃取了价值 770 万美元的数字货币。黑客首先设法窃取了 KICKICO 智能合约控制的加密密钥，然后销毁现有的数字货币并创造同等量的新币到黑客控制的地址，由于这种方法没有改变已发行的 KICKICO 令牌的数量，从而绕过了 KICKICO 的风控系统。
攻击实例分析：
结合KickCoin智能合约代码(合约地址:https://etherscan.io/address/0x27695e09149adc738a978e9a678f99e4c39e9eb9
)和攻击事件前后的交易事件日志分析发现，攻击者使用合约拥有者的身份在2018-07-25 10:15:40 PM +UTC通过调用合约的destroy()函数(此函数owner可以调用!)
销毁了0x8184d4ffc09369dcd5e018eefa054e6bb597aca4地址约9680128个KickCoin通证，时价约160万美元。
然后在2018-07-25 10:17:33 PM +UTC，即销毁KickCoin通证几分钟后，攻击者通过调用issue()函数。
给攻击者控制的地址0x6e808fc8786988695332f5a95721b1a5a3209ef3发行了与销毁数量完全一致的通证，从而在不改变_totalSupply(即KickCoin总发行量)的情况下，绕过了平台发行方的总发行量监测预警，实现了token的窃取。
安防链技术团队提示：
1、项目平台方需要妥善保管好智能合约的拥有者密钥,一旦密钥失窃,会造成无法估量的损失。
2、项目平台方除了对token通证总量进行监控外,也需要对关键操作如转账、销毁通证等进行事件记录和监控，防止黑客通过各种恶意操作绕过监控。
网友评论