NFT交易平台SuperRare因智能合约漏洞遭730,000美元攻击
据区块链安全公司Cyvers披露,SuperRare平台的RARE代币质押合约于本周一遭遇攻击,损失价值约73.1万美元。专家指出,这一由基础智能合约漏洞导致的安全事件完全可以通过标准测试流程避免。
漏洞根源
问题出在用于修改默克尔根(决定用户质押余额的关键数据结构)的权限控制函数。该函数本应仅允许特定地址操作,但因逻辑编写错误致使任意地址均可调用。Base链去中心化交易所Alien Base首席开发者0xAw表示,此类明显错误甚至能被ChatGPT识别——经Cointelegraph独立验证,OpenAI的o3模型确实成功检测到了该缺陷。
事件影响
SuperRare联合创始人Jonathan Perkins向媒体确认,核心协议资金未受影响,61个受损钱包将获得全额补偿。"我们已吸取教训,未来所有变更都将通过更严格的审核流程。"他补充道。分析显示,攻击者利用条件判断逻辑的反向错误,成功抽离质押的RARE代币。
行业反思
加密保险公司Nexus Mutual高级工程师指出:"单元测试本应发现这个错误。"AMLBot技术总监Mike Tiutin将其归因为"开发者的低级失误与测试覆盖不足",其CEO Slava Demchuk强调这是"智能合约必须严格审计的经典案例"。
单元测试的核心价值
单元测试作为验证程序最小单元功能的自动化手段,能有效在早期捕获缺陷。本案中,针对默克尔根修改函数的权限测试若被执行,将立即暴露问题。"无论疏忽还是测试不足,结果都是付出沉重代价的可避免漏洞。"Demchuk表示。
漏洞生态现状
0xAw指出:"绝大多数严重漏洞都源于低级错误"。Hacken事件响应负责人Yehor Rudytsia认同该观点:"这个漏洞在代码审查中相当明显。"SuperRare已建立新流程,规定审计后的任何修改无论大小都需重新审计。
Perkins总结道:"这痛苦地提醒我们,复杂系统中微小变更也可能引发意外后果。"正如专家所言,在去中心化体系中,单个字符的错误都可能导致灾难性结果。