据区块链安全公司PeckShield安全盾风控平台DAppShield监测消息，4月10日23点02分，黑客向波场竞猜类游戏TronWow发起攻击1,203次，共计获利2,167,377个TRX。PeckShield安全人员当即展开分析发现，黑客每投注20TRX，即可获得1,940个TRX作为回报，回报率高达97倍。最终，通过此次攻击，黑客共计投注23,004个TRX,获利2,167,377个TRX。此后，PeckShield安全人员进一步深入分析发现，TronWow合约在检查下注范围时存在缺陷，允许用户在非页面下注时构造恶意输入，从而实现稳赢的游戏结果。攻击细节：
波场TRON总账户数突破640万:6月26日，根据TRONSCAN波场区块链浏览器（https://tronscan.io）最新数据显示，波场TRON总账户数达到6405858，突破640万。波场TRON各项数据平稳增长，波场生态逐渐强大的同时，也将迎来更多交易量。[2020/6/26]
TronWow是一个典型的dice类游戏。玩家通过选定下注数字和押大押小来进行一轮游戏。如下图所示，当用户在TronWow游戏页面中参与游戏，无论选择Under模式或Over模式，都被限制了下注数字的范围和胜率。其中Under模式可下注数字为，Over模式可下注数字为，游戏随机生成数字范围为，Under和Over两种模式的胜率均为，奖励倍数为。
波场TRON首届SUN Network侧链开发者大赛圆满结束:波场TRON官方举办的首届SUN Network侧链开发者大赛，在历时4个多月后正式圆满结束。据悉，此次大赛奖金达百万，共有50多支开发者团队参赛，其中22个参赛作品成功获奖。目前波场TRON DappChain侧链的区块高度超过590万，每日交易量超过10万，TPS峰值达到67笔/秒，实时地址数已经超过13万。[2020/4/15]
PeckShield安全人员在深入逆向分析TronWow合约时发现，TronWow合约在检查下注范围时存在缺陷，允许用户在非页面下注时构造恶意输入。换而言之，一旦用户避开游戏页面，直接调用游戏合约的下注函数，即可设法绕过合约中的下注范围检查条件，实现100%胜率以及最高回报倍数。下面以正常下注交易和恶意下注交易对该合约漏洞进行说明。在TronWow合约代码中，函数placeBet(uint24_betMask,uint256_commit,bytes32_r,bytes32_s)为下注函数，参数uint24_betMask为玩家的下注信息。其中正常下注交易调用placeBet函数时输入如下：
动态 | 波场TRON第32号提案通过后将开启波场公链虚拟机中3个新特性:据最新消息显示，波场TRON本次第32号提案已于2020年2月21日11：30(新加坡时间)发起，本次提案通过后将开启TVM(波场公链虚拟机)中3个新特性，分别是：支持在TVM中进行并行验签、多重签名验签、判断地址是否为合约地址。提议通过之后，将进一步丰富智能合约的应用场景。[2020/2/21]
这是一个选择了Under模式且下注数字为95的正常交易，换而言之，当游戏生成的随机数小于等于95时玩家获胜。在此交易中，参数_betMask的值24321转换成十六进制为0x005F01，我们将其分拆为三个字节，分别如下：
声音 | 委内瑞拉总统：Petro有超27000家“联营企业”:金色财经报道，委内瑞拉总统马杜罗(Nicolas Maduro)最近表示，该国由石油支持的加密货币Petro拥有超过27000家“联营企业”，这可能意味着政府对其采用的推动正在发挥作用。马杜罗称，这一数字预计“在未来几个月将翻一番”。不过，马杜罗澄清道，委内瑞拉将“始终使用玻利瓦尔作为其货币”。[2019/11/19]
其中：0x00为十进制0；0x5F为十进制95；0x01为十进制1.其中第一部分0x00表示若当该轮游戏产生的随机数计算结果处于之间，则玩家获胜；相反，前两位不为0x00时表示若该轮游戏产生的随机数计算结果处于之外，则玩家获胜。在逆向过程中，我们将下注函数的部分汇编指令还原成伪代码，如下图所示：
阅读上述下注函数伪代码可以发现，合约只对玩家下注信息中的胜率百分数进行了检查，要求其小于等于95，却未对下注数字做数值限制。故玩家可通过构造下注数字来绕过该检查。下图为攻击者发起的诸多攻击交易之一：
其中_betMask参数被构造为130971，十六进制为0x01FF9B。其中前两位0x01表示若该轮游戏产生的随机数计算结果处于之外，则玩家获胜。而0x9B、0xFF对应的十进制分别为155、255，则根据合约撰写的胜率百分比计算规则，winRate=100-(0xFF-0x9B)+1，即等于1，从而成功绕过下注范围检查函数，并将本次交易的奖励倍数设置为97。需要特别强调的是，在页面下注中，奖励倍数最高仅为48.5倍。接着，我们将开奖函数settleBet(uint256_reveal,bytes32_txHash)的判断游戏输赢部分汇编指令还原成伪代码：
其中rollResult为本轮游戏的随机数计算结果，取值范围为。而在攻击者设置的恶意参数中，rollResult必然处于区间之外，满足赢得本轮游戏的条件，从而确保了攻击者游戏结果稳赢。总结：
对于TronWow合约被攻击事件，PeckShield安全人员分析发现：TronWow合约在检查下注范围时存在缺陷，允许用户在非页面下注时构造恶意输入，实现100%胜率。需要注意的是，该漏洞已在TronWow上线的新版本合约中被修复，游戏方增添了对下注范围的约束检查。在此，PeckShield安全人员提醒广大项目方及交易所应当重视区块链世界中的任何安全问题，确保项目方及用户的资产安全可靠。安全无小事，采取不公布源代码来抵御黑客攻击的行为，在黑客面前形同虚设。DApp开发者应杜绝侥幸心理，在合约上线前做好必要的安全措施和已知攻击特征检查，必要时可联系第三方安全公司进行漏洞排查，避免造成不必要的数字资产损失。
编者按：主要内容来自NEWS.BTC,编译整理Odaily星球日报记者吴遂心。对于许多所谓的发达国家而言,比特币往好了说是投机者的工具,往坏了说是犯罪的工具.
1900/1/1 0:00:00Staking经济的到来,矿池间也在加速竞赛,PoW矿池如星火矿池切入了Cosmos挖矿鸣响了第一声战火,新兴的PoS矿池携带对共识算法的熟悉及社群基础也在扩大影响力.
1900/1/1 0:00:00全国政协十三届二次会议2019年于3月3日在北京召开,十三届全国人大二次会议将于2019年3月5日在京召开。自从去年区块链站在科技前沿的风口,两会代表对区块链的关注也随之提上了日程.
1900/1/1 0:00:00Odaily星球日报译者|Moni“由于人们都想从互联网上获得好处,互联网已经演变成了一个导致不公平和分裂的引擎,它被强大的力量所支配,并且任由其摆布。“——万维网之父、互联网先驱TimBerners-Lee.
1900/1/1 0:00:00“第三轮改成了逐单匹配成交。目的就是让大家能够‘阳光普照’,只要你持有HT,最后就不会空手而归。”火币全球站CEO翁晓奇在Odaily星球日报社群做为投资者们解读火币Prime二期项目规则时说到.
1900/1/1 0:00:00编者按：本文来自谷燕西,星球日报经授权发布。美国时间4月4日,美国交易所控股公司迈阿密国际控股宣布同Templum达成战略合作。两者将共同建立一个受监管的交易所,挂牌并交易数字证券。这个交易所会向SEC提交申请以获得批准.
1900/1/1 0:00:00
宇宙链