北京时间8月31日和9月1日，CertiK安全研究团队发现Sushiswap仿盘的两个项目YUNoFinance(YUNO)与KIMCHI.finance(KIMCHI)，其智能合约均存在漏洞。如果利用该漏洞，智能合约拥有者可以无限制地增发项目对应的代币数目，导致项目金融进度通胀并最终崩溃。
无限增发漏洞
以Yuno项目中智能合约为例，CertiK安全研究团队对于该无限增发漏洞进行了详细分析，技术细节如下：
在Yuno项目中的MasterChef.sol智能合约第1354行中，dev方法可以允许当前拥有devaddr身份的智能合约调用者，将devaddr身份转移给另外一个地址。
CertiK：与stake.com攻击相关的EOA地址将12.6万枚MATIC兑换成BTC.b:金色财经报道，据CertiK官方推特发布消息称，与stake.com攻击相关的EOA地址(0xF83 )将12.6万枚MATIC(约7万美金）发送至EOA 地址(0x22B)。而后兑换为axlUSD并跨链至Avalanche。最终被兑换成BTC.b。[2023/9/6 13:21:50]
截图出自：
https://etherscan.io/address/0x450f143f1a8650fff968d890814bd5884bdc8f1d#code
Cere Network与Bluzelle达成合作，为Cere提供去中心化数据库:官方消息，波卡生态去中心化数据云平台Cere Network与去中心化数据库服务平台Bluzelle达成合作。Bluzelle将改进Cere目前的数据存储系统，提高Cere的数据灵活性、可扩展性和安全性，并使企业能够以最优化的方式利用Cere生态系统应用程序生态系统。
作为合作伙伴关系的一部分，Bluzelle将加入SaaS-DeFi联盟，该联盟旨在为企业DeFi空间建立通用协议标准，并改善企业与DeFi生态系统之间的通信。SaaS-DeFi联盟的其他成员包括Binance Smart Chain，Elrond，Chainlink，Matic，Reef。[2021/3/31 19:33:02]
下图中可以看到在智能合约1282行的mint方法是由修饰器onlyOwner进行限制，修饰器onlyOwner决定了只能是智能合约拥有者来执行这个合约。
去中心化投资银行平台AllianceBlock与CertiK达成合作:去中心化投资银行平台AllianceBlock宣布与CertiK建立合作伙伴关系，旨在确保AllianceBlock协议始终满足高安全标准。作为合作的一部分，CertiK的专业服务部门（Professional Services Division）将对AllianceBlock网络进行深入审计，并将验证基于该网络的去中心化金融解决方案。[2020/10/29]
以上三截图均出自：https://etherscan.io/address/0x450f143f1a8650fff968d890814bd5884bdc8f1d#code
动态 | EOS42发起提案：升级regproducer李嘉图合约 提升EOS主网稳定性:据IMEOS消息，EOS42发起公投提案，提交新版本 regproducer (出块节点注册)李嘉图合约供EOS社区反馈和投票。regproducer 是注册成为出块节点时候所做的操作，而相应的李嘉图合约用于规范出块节点的行为和表现。此提案发起目的是希望帮助EOS社区就出块节点追责制的基本流程与规范达成一致。在介绍提案的文章中， EOS42提到：“通过regproducer合约中约定的标准来实现出块节点问责制，其最终目标是为了确保基础设施的性能能够具备稳定性，能够为 dApps 提供可靠的支持，并且为EOS区块链提供保护。”EOS社区可以通过参与全民公投方式积极参与regproducer的新合约条款投票，同时，会发起多签名提案(MSIG)，其更改内容与全民公投的提案相同。多签提案将比公投的持续时间延长两周。[2019/5/30]
拥有devaddr身份的调用者，当其身份恰好同时为owner身份的时候，可以通过调用MasterChef.sol智能合约1282行的mint方法，来无限制的增发代币。1282行的mint方法会继续调用1130行的mint方法，并继续由1130行mint方法调用1044行的_mint方法，并最终完成代币增发的操作。
Kimichi项目智能合约中存在的无限增发漏洞与以上漏洞基本相同，因此在这里不进行重复叙述。
如果owner和devaddr的地址如果相同，那么在外部没有对智能合约拥有者限制的情况下，智能合约拥有者拥有权利增发任意数量的代币，这将会将投资者置于风险之中。那么Yuno和Kimichi这两个项目中的devaddr和owner是否为同一人呢？是否有其他外部制约机制可以限制这两个项目的智能合约拥有者呢？
下图为Yuno项目MasterChef.sol智能合约中拥有devaddr和owner身份的地址。
截图出自：https://etherscan.io/address/0x9dd5b5c71842a4fd51533532e5470298bfa398fd#readContract
下图为Kimichi项目中KimchiChef.sol智能合约中拥有devaddr和owner身份的地址。
截图出自：https://etherscan.io/address/0x9dd5b5c71842a4fd51533532e5470298bfa398fd#readContract
从上两图中可以看到，Yuno项目中拥有devaddr和owner身份的地址为同一个，因此其智能合约拥有者有权利进行无限制的代币增发。而Kimichi项目中拥有devaddr和owner身份不同，但由于devaddr的身份可以进行转移，因此也存在一定的风险。
目前措施
为了确保无限增发漏洞不会被触发，对于Yuno和Kimichi两个项目的智能合约拥有者必须由外部进行限制。当前已经实施的限制条件与Sushiswap项目一致，即对任何由智能合约拥有者进行的智能合约操作，均有48小时的延迟。任何来自智能合约拥有者的操作都会被所有投资者观察到，并有48小时进行应对操作。
CertiK安全团队建议
当前DeFi以及相关Farming项目异常火爆，由于区块链项目对于项目代码公开性有要求，因此上线新项目门槛极低。如果盲目借鉴其他项目，任意漏洞都可能被引入到项目中。因此在项目上线之前，应该对项目进行严格的安全审计。
从投资者角度，当前Farming项目动辄百分之几千的回报率，极易促使投资者在没有对项目本身有足够了解的情况下进行盲目投资。例如SushiSwap，Yuno以及Kimchi三个项目均没有经过严谨的安全验证就快速上线。投资者可能会被巨大的利益回报迷惑，将宝贵资金投入到有极大风险的智能合约中。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。