慢霧安全團(tuán)隊(duì):DApp EOSlots被攻擊手法分析
據(jù)IMEOS報(bào)道,今晨 8、9 點(diǎn),EOS DApp EOSlots遭受攻擊,攻擊者aimt****rass直接調(diào)用EOSlots合約的transfer方法進(jìn)行下注,從而無(wú)需轉(zhuǎn)賬EOS,并非“假EOS攻擊”,是“空手套白狼”的效果。
該攻擊手法早在2018年9月14日黑客攻擊EOSBet時(shí)我們就預(yù)警并發(fā)布過技術(shù)分析,漏洞原因是項(xiàng)目方在合約的apply中沒有校驗(yàn)transfer action的code == N(eosio.token)。該漏洞原理及防御方法已收錄在慢霧《EOS智能合約最佳安全開發(fā)指南》,建議開發(fā)者及項(xiàng)目方研究、學(xué)習(xí)下。此外我們已通知目標(biāo)交易所封堵黑客獲利所得EOS。