针对区块链安全问题，成都链安科技团队每一周都将出智能合约安全漏洞解析连载，希望能帮助程序员写出更加安全牢固的合约，防患于未然。引子：外以欺于人，内以欺于心–唐·韩愈《原毁》前景提要
上回书，转账过程纷繁复杂，安全应对各个击破。面对直接涉及以太转账的游戏合约，在使用官方提供的转账函数同时，添加不同账户类型的区别处理以及失败情况下的异常处理乃明智之举。此外，构建合约逻辑避免依赖于合约余额确切值应铭记在心，如有特殊考虑，切记定义状态变量明确余额变化，万不可想当然而为之。本期话题
第九回，合约安全隐私未必，外部读取暴露无遗。
我们在前几回主要讨论的都是在合约内部构建函数和代码书写规范时产生的一些误区和安全隐患。但是对于智能合约这个崭新的概念，仅仅从合约层面本身考虑合约的安全可能并不足够。合约开发者在这个产业蓬勃发展的过程当中，为了赶上项目进度，不得以边学习边实践，即使在代码书写层面功底很扎实的情况下，仍然会因为区块链技术的特殊性埋藏一些不自知的安全隐患。所以，这一回我们将要阐述的安全隐患就是因为“合约中的一切都是公开可见”这一特性造成的。基础小知识
当前BTC全网合约持仓总量95.04亿美元 24小时减少5.42亿美元:据合约帝持仓报告显示，当前全网合约持仓总量为95.04亿美元，24小时减少5.42亿美元。其中，Huobi合约19.99亿美元，24小时增加0.18%；OKEx合约23.88亿美元，24小时减少2.22%；BitMEX合约8.6亿美元，24小时减少2.63%；Binance合约17.96亿美元，24小时减少2.86%；Bybit合约24.6亿美元，24小时减少11.10%。[2021/3/23 19:10:54]
在第七期的关于未初始化局部变量中我们介绍了变量存储的知识。Solidity对复杂的数据类型，比如数组和结构体，会默认存储在Storage当中。没有提到的是关于智能合约中对于变量从作用域的划分。目前的划分包括三种，全局公有变量，全局私有变量，局部变量。其中，全局变量一般储存在storage当中，而结构、数组或映射类型的局部变量，默认会放在存储storage中，除结构、数组及映射类型之外的局部变量，会储存在栈中。公有和私有是可见性说明符，公有变量在合约内部外部均可见，而私有变量仅在当前合约可见。另外还有两个可见性类别在这里我们也介绍一下：external，表示仅在外部可见，即仅可用于消息调用；internal，仅在内部可见，表示的意思是仅在Solidity合约与子合约均可见，不仅限于当前合约内。问题出在哪
CME比特币期货1月合约涨超9%:金色财经报道，成交量最高的CME比特币期货2021年1月合约今日收涨2965美元，收报34515美元，涨幅达9.4%。2月、3月及4月合约分别收报34925美元、35375美元和35780美元。[2021/1/6 16:30:56]
由于状态变量一般是需要永久存储的变量，所以一定会储存在storage中，联系第七期的知识，storage是存在于区块链当中的，可以类比为计算机的存储磁盘。那么状态变量其实一直存在于区块链当中，对于结构、数组或映射类型的局部变量也是同样的道理。这样一来，即使加上了可见性说明符，例如私有状态变量，根据区块链公开的特性，它也还会是公开的，因为这个私有仅限于合约层面的私有，合约之外依然可以读取。这个附加的可见性说明符就像子给皇帝穿上的新衣，以“”到合约层面的函数和变量，在合约外部却形同虚设。那么，从外部如何读取状态变量呢，下面我们从合约外部的角度分析具体的流程。如何从合约外部读取变量
Asproex（阿波罗）开通生态通证MOON合约:据官方消息，2020年12月12日，Asproex（阿波罗）正式开通生态通证Moon的合约交易，用户可以直接使用生态通证Moon作为合约的保证金进行合约交易。此次生态通证MOON合约业务的开通将意味着Asproex（阿波罗）生态边界愈发广阔、丰富多元。
?
Asproex（阿波罗）作为一家离岸银行控股持牌交易平台，涵盖CTO(Corporate Token Offering)企业通证上市、合约跟单、ETT指数通证、数字矿业、Digital Bank板块并持有5国合法牌照，致力于为全球中小微企业提供数字化上市一站式服务。[2020/12/12 15:01:07]
一、状态变量接着上面的概念，合约的状态变量都是存在于区块链中，就像存储在磁盘中的文件，因此，那么我们可以直接通过访问区块链获取这些状态变量的值。例如针对以下案例合约进行全真模拟操作：将上面的合约部署在ropsten测试链上，获得地址0x9e550E6911b38412964C5C956383757c9FA7F860，然后登陆METAMASK钱包进入浏览器控制台console：1.查看变量a，输入：web3.eth.getStorageAt('0x9e550E6911b38412964C5C956383757c9FA7F860',0,function(x,y){console.log(y。)会得到：2.查看变量str获取16进制结果，输入：web3.eth.getStorageAt('0x9e550E6911b38412964C5C956383757c9FA7F860',1,function(x,y){console.log(y。)转换为字符串，输入：web3.eth.getStorageAt('0x9e550E6911b38412964C5C956383757c9FA7F860',1,function(x,y){console.log(web3.toAscii(y)。)会得到：3.查看ownerweb3.eth.getStorageAt('0x9e550E6911b38412964C5C956383757c9FA7F860',2,function(x,y){console.log(y。)4.查看balanceOf这个稍微复杂一些，由于映射变量不是按照定长变量的顺序存储，其是一个键值对，EVM采用的机制是将其存在sha3(key+slot)处输入进控制台，得到：二、局部变量局部变量直接编码到opcode中，例如上面合约localVar函数中的local变量三、建议上面的读取操作验证了只要是储存在storage里面的变量，都是可以通过不执行合约函数就直接获取的。因此，依赖可见性说明符，将隐私，不可公开的数据存储在区块链上是很不安全的做法。如果真的要将隐私数据储存在区块链中，也要进行相应的加密处理。欲穷千里目更上一层楼区块链时代的安全包含传统互联网安全，智能合约安全等多个方面，对于合约层面的安全考量固然是一方面，但是对于数据存储方面，不沿用互联网安全的理念，盲目信赖新技术却又不深入挖掘新技术某些特性、限制条件、特殊情况，势必无法做到真正意义上的全面防护。目前区块链产业步伐放缓，正是我们深入学习了解这个领域的最佳时机，也是这个产业提升稳健性的最佳契机。更上层楼，与君共勉。参考资料：
动态 | BTC合约多空持仓人数比为1.23，市场做多人数有所增加:截至12月31日10:30，根据OKEx交易大数据显示，BTC合约多空持仓人数比为1.23，季度合约基差110.6美元，永续合约基差-0.02美元，永续合约资金费率0.051%；BTC合约持仓总量5,565,362张，24h交易量15,245,117张；主动买入量268,577张，主动卖出量240,526张；精英账户做多账户比53%，多头持仓比19.71%，做空账户比45%，空头持仓比17.99%。BTC现货数据方面，杠杆多空比为1.72，币币主动买入量 52.83BTC，币币主动卖出量62.39BTC，USDT场外溢价率为99.08%。
分析师表示，BTC合约多空持仓人数比为1.23，多头持仓人数再次增加，季度合约基差扩大至100美元以上，永续合约资金费率也出现提升，表示市场对后市信心有所提升；持仓总量方面则保持稳定，主动交易保持相对活跃，行情仍有异动可能；BTC合约精英持仓方面，做多账户比与多头持仓比均有一定优势，但并不明显。[2019/12/31]
:以太坊智能合约OPCODE逆向之理论基础篇：https://paper.seebug.org/640/：可见性和getter函数：https://solidity-cn.readthedocs.io/zh/develop/contracts.html#getter:JSON-RPC#eth_getstorageat：https://github.com/ethereum/wiki/wiki/JSON-RPC#eth_getstorageat:以太坊数据存储的思考和解读：https://blog.csdn.net/Blockchain_lemon/article/details/79308137:HowtoreadEthereumcontractstorage：https://medium.com/aigang-network/how-to-read-ethereum-contract-storage-44252c8af925相关阅读：链安团队漏洞分析连载第一期一一溢出漏洞链安团队漏洞分析连载第二期——拒绝服务漏洞链安团队漏洞分析连载第三期——竞态条件漏洞链安团队漏洞分析连载第四期——底层函数误用漏洞链安团队漏洞分析连载第五期一一权限验证错误链安团队漏洞分析连载第六期一一游戏合约漏洞全面汇总链安团队漏洞分析连载第七期一一存储器局部变量未初始化链安团队漏洞分析连载第八期一一以太坊转账安全风险
声音 | 何一：币安JEX是非常技术流和产品流的团队 对合约产品有诸多结构性的创新:9月12日，币安联合创始人兼CMO何一在“499小姐姐人物访谈第23期”接受Roark Fund合伙人Shelley Wu访谈时表示，币圈其实很多时候大家的交易产品都非常的相似，但JEX平台本身在产品和功能上，进行了独创性的调整。我们要看到的是他们的创新的部分，而不是说在文档上借鉴了BitMEX就被打入所谓的“抄袭”。JEX是一个非常技术流及产品流的团队，在文字表达和产品营销上有许多需要提高的地方。确实他们也借鉴了BitMEX的产品设计，或者说是他们的说明文档。所以，他们也非常郑重公开道歉。但我们需要看到的是，JEX合约平台本身在早期就对原有的合约进行了产品结构性的很多设计及调整。[2019/9/12]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。