哈希交易所官网入口,哈希交易所注册,哈希交易所登录,哈希交易所下载,哈希交易所APP/哈希交易所官网入口为用户提供官方注册、登录、APP下载与币种交易服务，安全合规，快速充值提现，全面满足数字资产投资需求。竞猜类游戏 Fastwin 遭黑客攻击背后：Block.one 官方悄然做了重大更新

　　12 月 05 日，新上线的又一款 EOS 竞猜类游戏 Fastwin 遭到黑客攻击，区块链安全公司 PeckShield 态势感知平台捕捉到了该攻击行为并率先进行了安全播报披露。数据显示，当天凌晨 03:18—04:15 之间，黑客（ha4tsojigyge）向 Fastwin 游戏合约（fastwindice3）发起 124 次攻击，共计获利 1,929.17 个 EOS。 PeckShield 安全人员分析发现，该攻击行为是黑客利用 Fastwin 的合约在校验合约调用方时存在的漏洞，导致「内联反射 。

　　12 月 05 日，新上线的又一款 EOS 竞猜类游戏 Fastwin 遭到黑客攻击，区块链安全公司 PeckShield 态势感知平台捕捉到了该攻击行为并率先进行了安全播报披露。数据显示，当天凌晨 03:18—04:15 之间，黑客（ha4tsojigyge）向 Fastwin 游戏合约（fastwindice3）发起 124 次攻击，共计获利 1,929.17 个 EOS。 PeckShield 安全人员分析发现，该攻击行为是黑客利用 Fastwin 的合约在校验合约调用方时存在的漏洞，导致「内联反射（inlineReflex）」攻击成功。

　　据研究，截止 11 月底，已经发生了超 27 起 EOS DApp 安全事件，主要集中在假 EOS 攻击、随机数问题等攻击方式，且在不断升级演变。 而这次看似较小的攻击事件背后却暴露出了一个较以往危害性可能更大的新型漏洞：EOSIO 官方系统对调用合约自身函数存在不校验权限的问题。

　　PeckShield 认为这是一个非常严重的漏洞，并第一时间通知了 Block.one 团队（CVE-2018-20163）。Block.one 官方团队接受了该漏洞提议，并告知我们有其他研究团队也事先独立汇报了该漏洞，最终于周四（12 月 13 日）更新了紧急补丁以补救防御，同时次日新发布 1.5.1 和 1.4.5 两个版本，完成了该漏洞修复，避免了更多攻击事件的发生及可能造成的资产损失。

　　正常的转账流程如图所示：玩家通过调用系统合约 (eosio.token)，将 EOS 转账给游戏合约，触发游戏合约的分发逻辑 (apply)，进而调用相关函数实现开奖。

　　而此次的攻击者 (ha4tsojigyge)，在自己帐号部署的合约中包含了与游戏合约相同的操作函数，在转账完成后，自行开奖获得奖金。如图所示：

　　从图中可以看出，攻击者在自身合约的函数（pushck）中，内联调用了与游戏合约开奖同名的函数（check），再通过通知（require_recipient）的方式将信息发送到了游戏合约。此时游戏合约的分发逻辑（apply）没有过滤掉此信息，并调用了开奖函数（check）。

　　总之，攻击者利用了 EOSIO 系统中对调用合约自身函数不校验权限的漏洞，进而使用游戏合约（fastwindice3）的帐号权限发起内联调用，致使绕过游戏合约在敏感函数中校验调用者权限的方法（require_auth），从而获取了游戏合约发放的奖励。

　　从上述分析能够发现，攻击者合约的通知信息中，实际调用的合约是攻击者合约（ha4tsojigyge），而非游戏合约（fastwindice3），因此在游戏合约的分发逻辑（apply）中过滤掉此类信息即可。而且从系统定义的宏（EOSIO_ABI 或者 EOSIO_DISPATCH，如图四）中能够看到，分发逻辑处理了此问题。因此 PeckShield 在此提醒开发者在定制化自己的分发逻辑时，需要特别注意其中的调用来源。

　　需要强调的是：这个问题属于 EOS 公链层的较大漏洞，攻击者在内联调用中可以伪造任意帐号的权限执行，但这个修复可能会给部分开发者造成兼容性问题，如合约内联调用函数，而执行者帐号（actor）不是自己的时候，会导致整个交易（transaction）执行失败，如需解决兼容性问题请给合约赋予执行者帐号的e 权限。

　　在即将到来的一系列升级中，Illuvium将利用Virtuals Protocol AI代理为更智能的游戏角色提供动力。

　　iPhone制造商苹果公司表示，将更新其人工智能功能，此前有人呼吁撤回因发布不准确的新闻警报而引发争议的功能。

　　2025年狗狗币市场走势：DOGE能否突破1美元大关？涨幅20%背后的秘密是什么？

　　2025年狗狗币市场走势：DOGE能否突破1美元大关？涨幅20%背后的秘密是什么？

　　最近的Pi Network（Pi）更新、Shiba Inu（SHIB）警告等：Bits回顾1月7日

　　Pi Network推出Open Network取决于验证和主网迁移，而SHIB用户应该警惕TREAT的虚假服务。

　　币界网实时价格午报：TRX波场报0.2507美元/枚，跌幅达-2.03%

　　币界网实时价格午报：BIGTIME报0.13036美元/枚，跌幅达-3.01%

　　Wintermute为代币SONIC做市商，两天前Wintermute地址收到由项目方分发的360万枚SONIC用于做市

　　WEEX交易所WE-Launch上线Violet，投入WXT瓜分3100万枚VIOLET代币