DAO Attack
https://etherscan.io/token/TheDAO#readContract
Pariity Hack
https://blog.zeppelin.solutions/on-the-parity-wallet-multisig-hack-405a8c12e8f7
https://medium.com/@Pr0Ger/another-parity-wallet-hack-explained-847ca46a2e1c
https://paritytech.io/the-multi-sig-hack-a-postmortem/
360
http://blogs.360.cn/blog/eos-node-remote-code-execution-vulnerability/
RMC/UET代幣合約
https://mp.weixin.qq.com/s/qDTrZPy5f4_-V2F4DpzoNA
https://paper.seebug.org/612/
http://blockchain.unica.it/projects/ethereum-survey/index.html
http://cryptodefense.io/
- Reentrancy: Do not perform external calls in contracts. If you do, ensure that they are the very last thing you do.
- Send can fail: When sending money, your code should always be prepared for the send function to fail.
- Loops can trigger gas limit: Be careful when looping over state variables, which can grow in size and make gas consumption hit the limits.
- Call stack depth limit: Don’t use recursion, and be aware that any call can fail if stack depth limit is reached. EDIT: this is no longer a problem.
- Timestamp dependency: Do not use timestamps in critical parts of the code, because miners can manipulate them.
幣安等交易的ERC20幣種存隱患 可人爲操縱幣價套利
2018.06.11 17:20:24Bianews
Bianews 6月11日消息，區塊鏈安全公司PeckShield今日發佈報告稱：多個已經在主流交易所上線的ERC20幣種的智能合約代碼存在嚴重的安全隱患，“攻擊者”可通過公開的接口，以“零成本”技術手段實施割韭菜套利行爲。
PeckShield調查發現，目前已知有700多個ERC20幣種存在此類問題。已經證實了至少有數十個幣種已經在包括幣安、火幣以及OKex在內的主流交易所公開上線交易，且交易量巨大。其中最大幣種市值已達1.5億美金，全部幣種共影響波及數十萬投資者。
PeckShield已向包括火幣、幣安以及OKex等多個主流交易所發出安全警報。
PeckShield研究大量智能合約代碼發現，攻擊者可使用如下兩種技術手段來操縱幣價：
安全問題一：項目owner可無限增發Token
存在問題的ERC20幣種智能合約有一個僅owner可調用的方法：mintToken，這個可被 owner用於增發token。
通常一個項目在上交易所之前即預售期，增發行爲尚算合理，項 目方定向空投一些Token給特定地址，目的是爲了激勵社區用戶參與活躍度。但在交易所上線可正常交易後，此種藉助智能合約的增發行爲會讓項目owner空手套利，會嚴重影響市場平衡。
（圖一：受影響智能合約存在的mintToken問題）
目前發現有10餘種存在此類問題的可交易Token，他們存在於23個包括 Binance和OKex這樣的頂級交易所，且目前交易量巨大，一旦被利用可以影響數以萬計的 投資者。
以下爲披露此信息時，已經發現的10個存在此問題的Token。
安全問題二：可操縱的價格和不公平的套利行爲
存在問題的ERC20幣種的智能合約有三個可調用方法：
1) setPrices: 僅owner可訪問，用來調整通過方法buy以及sell進行的token的買賣價格 (即buyPrice / sellPrice)；
2) buy: 公開且任意可訪問方法，根據buyPrice購買token；
3) sell: 公開且任意可訪問方法，根據sellPrice購買token。 爲描述方便起見，將buyPrice / sellPrice稱之爲owner可操縱價格，並將token在 交易所的價格稱爲市場價格。
（圖二：可操縱和利用的智能合約接口）
按理說，一個幣種上交易所後，交易走量都需要通過交易平臺，成交時的買賣價格也是和市 場保持同步的。然而，在圖二代碼中發現，項目owner可以通過智能合約任意修改買 入價和賣出價，完全不需要依照市場價格。這樣以來“套利”空間就有了，套利者可以在 Token市場價格略高通過接口定一個較低的買入價，然後再以市場價格賣出，套利者還可以用市場價格買入Token，再設定一個比市場價格高的價格賣出。
不管怎樣，這是一種干涉市場對流通Token“定價權”的行爲，嚴重點講已經控制了市場，對市場上其他投資者 而言存在極大的不公平。
以下爲披露信息時，已經發現的9個存在此問題的Token。
截至目前爲止，已發現9個可交易的token，在26個交易所上線交易。其中如SUB、INT 和SWFTC等token都在主流的交易所上線並擁有巨大的交易量和影響力。
其它安全問題
進一步研究發現，如圖三和圖四，sell或buy方法中存在整數溢出漏洞，項目owner 在佈局第二種套利行爲的時候，可以設計一個套利陷阱，owner能夠利用該漏洞損害普通用戶應得的收益。
（圖三：受影響的買方智能合約類別）
（圖四：受影響的賣方智能合約類別）
通常來講，傳統股票證券市場存在這樣的“割韭菜”套路，幕後大莊通過週期性低拉高拋來 製造市場震盪來收割韭菜，利用的是不少散戶投資者盲目追漲殺跌的心理。大多數情況下， 數字貨幣市場的大部分割韭菜行爲也是基於此市場化操盤來實現。最新發現的此種藉助智能合約漏洞割韭菜的方式，不經過市場，以技術手段進行零成本收割，對數字貨幣市場的穩定性威脅極大。
衆所周知，交易所控着着數字貨幣資產的流進和流出，作爲一個數字資產中轉樞紐，交易所自誕生以來漏洞和安全事件就層出不窮，數年來，圍繞交易所出現的黑客攻擊事件，已造成超百億美元的損失。
然而，這僅僅是明面上技術漏洞誘發的黑客攻擊事件，幕後還有藉助智能合約代碼漏洞實施操縱幣價展開不公平套利行爲。
6月9日，PeckShield發現了上述安全隱患，在評估了安全威脅之後第一時間通知了相 關交易所，希望攜手交易所來共同預防危機的發生。不少交易所(如幣安)和項目方(如 Substratum，即SUB)在得到通報後已積極做出了響應。
https://tech.sina.cn/i/gn/2018-06-11/detail-ihcufqih0816780.d.html?cre=tianyi&mod=wtech&loc=1&r=25&doct=0&rfunc=10&tj=none&tr=25&vt=4&pos=18