uni虚拟币交易黑幕：留后门代码，一夜之间吞掉用户上百万

安危情报站 › 门户首页 › 新闻周刊› 黑灰产业 ›

分享到

uni虚拟币交易黑幕：留后门代码，一夜之间吞掉用户上百万

黑灰产业 2020-11-3 18:41 1108人浏览 0人回复

收藏分享邀请

摘要

币圈一夜暴富的神话至今依然是人们茶余饭后的话题。前几年虚拟币被炒的热火朝天，不少90后趁此发了家。靠它发家致富的永远是项目的发起方，而散户则是被割的”韭菜”，不过也有那么几个幸运的成了漏网之鱼。前年的一 ...

币圈一夜暴富的神话至今依然是人们茶余饭后的话题。前几年虚拟币被炒的热火朝天，不少90后趁此发了家。靠它发家致富的永远是项目的发起方，而散户则是被割的”韭菜”，不过也有那么几个幸运的成了漏网之鱼。

前年的一个朋友购买虚拟币从几十块的币价暴跌到几毛钱，被割后该网站便以维护为由暂停运营。当时根据他提供的信息费了不少时间对该平台进行一次后台渗透，后台的数据显示购买的用户不少。这些用户只是项目方的一只任意宰割的羔羊而已，通过后台的代码和功能看出，他们拉盘砸盘完全根据后台设置的比率来调的，币的市值完全掌控在他们手中。在后台用户购买的金额记录非常大，仅靠这个空气币他们狂撸几千万，后面估计是被用户报了警方最终在去年被端掉。

虚拟币被割惨案历历在目，无论是之前还是现在都在发生。就拿国庆节期间发生被盗窃的代币uni来说，用户损失了上百万，撸他们的人是项目方。该项目方通过智能合约中的一个后门将玩家所持的uni币转移到技术员指定的地址。黑灰经是第一次听到项目方这么明目张胆黑掉玩家的虚拟币。根据币圈以往的情况，项目方往往是一会拉盘一会砸盘，以此长期敛财。

uni虚拟币在线上前，是通过了高端的页面以及可观的挖矿收益进行”钓鱼”，将一些人吸引过来。这也是一些虚假平台贯用的伎俩，只不过让黑灰经想不到的是虚拟币台子居然通过留后门的手段去获利。项目方将自己的owner权限转移给了其他的合约地址，通过获得owner权限的合约地址调用自己后台的setGovernance方法，将用户资产转移到平台指定的地址。

调用setGovernance方法可以输入两个参数一个字节类型的“_setData”和一个地址类型的“_governance”。函数的governance.call(_setupData)实际上是指向参数“_governance”地址发起一个请求，它的calldata就是参数“_setData”。只要有权限调用这个方法就可以以契约的形式发起请求。

function setGovernance(address _governance, bytes , memory _setupDate) public onlyDwnerOrGovernance{

governance = _governance;

(bool success , bytes memory returndate) = governance.call(_setupDate);

require(success, "setGovernance: failed");

}