北京时间11月12日，CertiK安全研究团队发现DeFi项目text.finance智能合约代码部分存在安全漏洞。分析之前，先考考大家的眼力，看看下图里面的文字说了什么。
如果看不清，不妨点击图片后把屏幕亮度调至最高。有的时候，某些不想让你看到的因素，正是通过排版或者这样的方式，被刻意隐藏了起来。接下来说说该项目中存在的两处漏洞。大家不妨在阅读文章的时候注意一下图中的位置。第一弹：项目拥有者可通过第一处漏洞，将指定数目代币转移到任意地址。第二弹：项目拥有者可通过第二处漏洞，将任意投资者的流动性池中的资产强制转移到项目拥有者的地址中。漏洞分析
CertiK：攻击者于一个地址铸造了1.5亿个SHELL代币:金色财经报道，据CertiK安全团队监测，北京时间2022年6月11日12:30 ，SHELL代币价格下跌超过56%。攻击者于一个地址铸造了1.5亿个代币，随后将其转移并在12次交易中将其售出。目前约有价值18万美元的代币已被提取，其余资金仍在以下地址：0x5ba8c3f55edc13c641d8612cd37ca89dc4e2cfb2[2022/6/13 4:21:38]
textMiner.sol部署地址:https://etherscan.io/address/0x9858728de38c914c2ea32484a113b6628d984a82#code1.漏洞一项目拥有者在textMiner.sol智能合约1000行处实现了withUpdates()函数。该函数的的作用是可以将任意数量的为devaddr地址铸造任意数量的代币。而通过查看图2中devaddr和项目拥有者owner的地址值，可以发现两者相同，因此项目拥有者可以通过该漏洞为devaddr地址铸造任意数目代币。同时，当前的devaddr地址拥有者可以通过图3的dev()函数将devaddr地址值更换到另外一个地址，因此最终项目拥有者可以更换将devaddr地址值更换的方法，向任意地址中铸造任意数目代币。虽然项目拥有者将图1中的withUpdates()函数设置为不允许智能合约外部调用，但是却有意地在图4中919行实现了允许被外部调用的add()函数，然后通过921行代码调用withUpdates()函数，从而实现向devaddr地址铸造1000000000000000000000000000000数量代币。
TikTok网红Spencer X加入Waves Ducks元宇宙:10月16日消息，Waves Tech宣布，TikTok网红Spencer X加入Waves Ducks Metaverse，为一只非常稀有和有价值的全新NFT鸭子贡献其形象和声音。Beatbox歌手Spencer X是TikTok第九大受欢迎的创作者。
总共有4只不同的Spencer X鸭子，100%稀有。其中一只于10月14日拍卖，这只鸭子带有Spencer X自己录制的特殊声音，成为首个拥有声音的Waves Ducks NFT。另外三只Spencer X鸭子将通过孵化成为头奖鸭在游戏中提供给玩家。[2021/10/16 20:34:34]
dHEDGE完成治理代币DHT拍卖 将在Balancer上开启流动性挖矿:9月20日，基于Synthetix生态的资产管理交易协议dHEDGE官方宣布，已完成其治理代币DHT拍卖。此后，dHEDGE将开启Balancer流动性池激励计划，将以拍卖会上剩余的500,000个DHT作为挖矿激励，在Balancer上创建DHT池。此前消息，dHEDGE（DHT）已上线火币、OKEx交易所。[2020/9/20]
图1：第1000行中的withUpdates()函数
图2：devaddr地址以及项目拥有者owner地址
区块链数据智能平台SixPencer支持合规稳定币HUSD数据查询:据官方消息，区块链数据智能平台SixPencer已经正式支持合规稳定币HUSD的数据查询。用户可以一键轻松获得HUSD相关知识图谱，同时系统会匹配与搜索词对应的最佳可视化图表。目前，平台已经支持HUSD最新的用户量、链上交易、以及市场数据查询。
SixPencer是一家区块链数据智能平台。致力于实现区块链数据智能大众化，打造一个人人都可通过搜索获取链上数据的开放平台，通过创新的搜索和分析工具，改变用户访问、理解和分析区块链数据的方式。
HUSD是由Stable Universal 发行的合规稳定币，与美元1:1锚定。HUSD对应的美元资产由美国信托机构托管，由知名的独立美国审计公司每月对资金进行审计。HUSD团队竭诚为用户提供安全、稳定、便捷的数字资产服务。[2020/7/7]
图3：dev()函数
图4：add()函数2.漏洞二
图5：emergencyWithdraw()函数项目拥有者可以通过调用图5中emergencyWithdraw()函数，将某一个特定地址投资者的某一个流动性池中的流动性资产全部取出，并转移到项目拥有者的地址中。该emergencyWithdraw()函数是一个基于正确的emergencyWithdraw()函数。因此就算审视合约者不恶意揣测，也很难说项目方不是恶意改写，并添加了该漏洞。从下图6的对比中可以发现，Sushiswap允许投资者通过调用emergencyWithdraw()函数，紧急取出属于自己的流动性资产，而在text.finance中却仅允许项目拥有者来调用该函数，同时允许项目拥有者取出属于任何投资者的流动性资产。
图6：text.finance和sushiswap项目中emergencyWithdraw()函数实现对比安全建议
CertiK安全研究团队认为当投资者在对DeFi项目进行投资时，不仅需要对智能合约常见的代码有所了解，更需要谨慎地审视具体代码的实现逻辑。否则极易掉入类似该项目中的恶意漏洞陷阱当中。对于非技术背景的投资者，更需要了解项目是否经过严谨的技术审计。从Text.finance项目的恶意漏洞中可以看出，盲目投资一个没有经过严格审计的项目，或引发极大风险，并造成难以估量的损失。CertiK是采用形式化验证工具来证明智能合约可靠性的业内顶尖公司。公司内部审计专家将利用包括形式化验证在内的多种软件测试方法，结合一流的白帽黑客团队提供专业渗透测试，从而确保项目从前端到智能合约整体的安全性。如你的项目需要保障，请发送邮件至bd.china@certik.org或直接后台留言进行免费咨询及报价。于此同时，CertiK的新产品预言机及快速扫描，也将为链上项目进行实时打分并且出具快速扫描分数。如果你需要查找某项目的信息及安全分数，请登录CertiKFoundation官网的CertiKShield页面进行浏览：https://shield.certik.foundation/欢迎搜索微信关注CertiK官方微信公众号，点击公众号底部对话框，留言免费获取咨询及报价！
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。