#美国终止政府停摆危机 في 12 نوفمبر، كشفت وكالة الأمان GoPlus عن ثغرة في العقود الذكية لمشروع Hello 402 - هذه ليست مجرد خطأ صغير، بل هي عيب قاتل قد يتسبب في خسارة المستثمرين لكل أموالهم.

لنبدأ بالأمر الأكثر خطورة: **تم تأكيد وجود ثغرة في الطباعة غير المحدودة**. قام المسؤول بتخصيص حصة سك $H402 للمستخدمين من خلال دالة addTokenCredits دون التحقق من تجاوز الحد الأقصى MAX_SUPPLY. بعبارة أخرى، من الناحية النظرية، يمكن طباعة أي كمية يرغبون بها، والحد الإجمالي يبدو غير ذي جدوى.

الأكثر جنونًا في الأمر لا يزال قادمًا. وظيفة redeemTokenCredits مسؤولة عن سك العملات حسب الحصة، ويبدو أنها طبيعية؛ لكن وظيفة WithdrawDevToken فهي سحرية للغاية - حيث تسمح لعنوان المسؤول بسك جميع الحصص غير المخصصة بنقرة واحدة. هذه الصلاحية مخيفة جدًا، مما يعني أن الفريق المطور يمكنه سحب الأموال من الصندوق في أي وقت.

أكد فريق المشروع على تويتر بكل حماس: "هذه الوظيفة تستخدم فقط لاستكمال الرموز بعد انتهاء الطرح الخاص، وتحفيز النظام البيئي، وترك مساحة للربح". المشكلة هي أن **لا يوجد أي من هذه الوعود مكتوب في شفرة العقد**. كم تساوي الضمانات الشفوية؟ لا يوجد أي التزام على مستوى العقد، وتكلفة الخرق تكاد تكون صفر.

من الناحية التقنية، يمكن للفريق المسؤول ترميز هذه التدابير بشكل كامل في العقود: مثل تعيين "طابع زمن خاص بموعد انتهاء الطرح الخاص"، أو توضيح "منطق فتح الرموز المميزة". للأسف، اختارت Hello 402 الطريقة الأكثر عدم شفافية.

هذه المخاطر الناتجة عن التلاعب المركزي، فليكن كل واحد منكم يدرك ذلك ويقوم بما يراه مناسبًا.