🔑 100배 수익 경험자의 노하우가 담긴 치트키 공개 🔑
- 네이버, 카카오 임직원들이 듣고 있는 비트코인 강의
- 아무도 알려주지 않은 비트코인, 이더리움의 리스크
- 블록체인 전문가들도 놓치기 쉬운 비트코인, 이더리움의 핵심 가치
- 천배 수익이 가능한 디파이(DeFi), 코인 생태계 지도
- 토큰 제작, 1억 연봉의 블록체인 개발자로 거듭나자!
소스파일
https://github.com/SunWeb3Sec/DeFiVulnLabs/blob/main/src/test/Backdoor-assembly.sol
- 이 계약은 표면적으로 공정한 ‘LotteryGame’이라고 생각할수 있음
- 실제 계약 배포자, 관리자에게 특권이 부여되어 있음
- 어셈블리 레벨의 스토리지 변수 접근을 통해서 달성됨
- referee function은 관리적인 백도어를 제공하도록 설계됨
- pickWinner 함수는 무작위로 당첨자를 선택하는 것처럼 보이지만 실제로는 관리자가 당첨자를 설정할 수 있게 해줌
- 결국 일반적인 접근제어를 우회하며 무단 사용자가 상금 풀을 인출하는데 사용할 수 있는 러그풀(rug pull)의 한 유형임.
- 공격자는 인라인 어셈블리 작성하여 백도어로 스마트계약을 조작할수 있음
- 어떤 매개변수든지 언제든 변경할 수 있음.
- 테스트 소스
- 테스트
참고문서
https://web3sec.notion.site/Hidden-Backdoor-in-Contract-a62b42babd0a4dc5b53c04021a004f07
댓글