近日，總部位于西雅圖的成人娛樂平臺SpankChain遭遇了一次智能合約安全漏洞，導致?lián)p失約38,000美元。

據(jù)悉，該成人娛樂平臺SpankChain基于以太坊的智能合約使用了一種名為BOOTY的智能令牌，而由于此次安全漏洞，該公司共計損失成本高達約28,000英鎊。

根據(jù)該公司發(fā)布的聲明介紹，在太平洋標準時間星期六（10月13日）下午6點，一名匿名攻擊者設(shè)法從該平臺的支付渠道智能合同中竊取了165.38 ETH的股份（價值約3.8萬美元）。此外，安全漏洞還導致SpankChain公司內(nèi)部名為BOOTY的令牌被凍結(jié)，價值4,000美元。

不過，直到事發(fā)第二天（星期天晚上7點），該平臺才意識到此次匿名攻擊事件。鑒于事件的嚴重程度，該公司暫停了其所有在線服務，同時采取措施試圖控制該問題繼續(xù)蔓延發(fā)展。

目前，SpankChain已經(jīng)暫停了其網(wǎng)站，同時重新部署了支付渠道的智能合約，并提供了安全補丁以阻止進一步攻擊。除此之外，該公司還積極補償所有遭受此次攻擊影響的用戶。

SpankChain方面回應

該公司在一份名為“We Got Spanked: What We Know So Far”（我們被黑了：這是我們目前所知道的一切）的帖子中表示：攻擊者利用了一個“重入”漏洞，與2016年鬧得沸沸揚揚的TheDAO事件如出一轍。

事實上，從TheDAO事件起，以太坊的智能合約開發(fā)者大部分都認識到了“重入”漏洞這類嚴重問題，而且自那以后也很少有重入漏洞導致資產(chǎn)被竊取的事件。不曾想，時隔兩年后，悲劇在SpankChain身上重演了。

根據(jù) SpankChain 的調(diào)查顯示，黑客利用了一個重入漏洞創(chuàng)建偽裝成 ERC20 令牌的惡意合同，通過轉(zhuǎn)移功能多次回調(diào)到支付渠道合同中，每次都提取一些以太坊（ETH）。

攻擊者先調(diào)用了支付通道合約的createChannel函數(shù)，并轉(zhuǎn)入了5個以太坊，然后重復調(diào)用支付通道合約的LCOpenTimeou函數(shù)，并一直獲取以太坊，每調(diào)用一次獲取5個以太坊，一共調(diào)用了32次，最終將總金額32*5=160 ETH轉(zhuǎn)到了攻擊者賬戶中。

其中，createChannel函數(shù)主要用于創(chuàng)建一個“安全支付通道”，其原理是先把需要轉(zhuǎn)出的資金存到支付通道合約中，只有在規(guī)定時間內(nèi)收款方才可以收款。一旦超出規(guī)定時間，發(fā)起方就可以將轉(zhuǎn)賬撤回。LCOpenTimeou函數(shù)則相當于提款函數(shù)，允許發(fā)起方快速撤回尚未被收款方收取的轉(zhuǎn)賬。

SpankChain方面承認，此次事故主要責任方在他們，因為他們覺得Zeppelin開價的17,000美元的安全審計費用太過昂貴，而放棄了對智能合約的安全審計工作。

好在幸運的是，在經(jīng)歷此次入侵事件后，SpankChain方面已經(jīng)得到了教訓，并體會到：與攻擊事件所花費的響應時間及遭受的損失成本相比，對智能合約進行安全審計所花費的成本完全是值得的！

加密貨幣及區(qū)塊鏈的火爆，引發(fā)了各種各樣的黑客攻擊事件。雖然智能合約在理論上是“非常難以入侵的”，但目前它仍然是一種年輕的技術(shù)，且很容易出現(xiàn)漏洞，這些安全漏洞可能很容易就被攻擊者利用。希望此次事件能為業(yè)界敲響警鐘，不讓TheDAO的慘案再次重演。