#美国终止政府停摆危机 Vào ngày 12 tháng 11, cơ quan an ninh GoPlus đã phơi bày những rủi ro liên quan đến hợp đồng thông minh của dự án Hello 402 - đây không phải là một lỗi nhỏ, mà là một khiếm khuyết chết người có thể khiến nhà đầu tư mất trắng.

Nói về điều nghiêm trọng nhất: **Cổng sau của việc phát hành không giới hạn đã được xác nhận**. Quản trị viên đã không kiểm tra xem có vượt quá giới hạn MAX_SUPPLY khi phân bổ hạn mức đúc $H402 cho người dùng thông qua hàm addTokenCredits. Nói cách khác, lý thuyết là có thể tăng phát bao nhiêu tùy thích, tổng lượng giới hạn chỉ là hình thức.

Còn điều vô lý hơn nữa đang ở phía sau. Hàm redeemTokenCredits chịu trách nhiệm cho việc người dùng đúc tiền theo hạn mức, có vẻ bình thường; nhưng hàm WithdrawDevToken thì thật huyền bí - nó cho phép địa chỉ quản trị viên một cú nhấp chuột để đúc toàn bộ hạn mức chưa phân bổ. Quyền hạn này lớn đến mức đáng sợ, tương đương với việc nhóm dự án có thể rút sạch quỹ bất cứ lúc nào.

Nhà dự án thì lại khẳng định trên Twitter: "Chức năng này chỉ được sử dụng để bổ sung token sau khi kết thúc gọi vốn riêng, tạo động lực cho hệ sinh thái, để lại không gian lợi nhuận." Vấn đề là, **không có bất kỳ cam kết nào được ghi vào mã hợp đồng**. Lời hứa miệng thì có giá trị gì? Ở cấp độ hợp đồng, không có bất kỳ ràng buộc nào, chi phí vi phạm gần như bằng không.

Từ góc độ kỹ thuật, một đội ngũ có trách nhiệm hoàn toàn có thể mã hóa các biện pháp bảo đảm này vào hợp đồng: chẳng hạn như thiết lập "thời gian kết thúc tư nhân", hoặc ghi rõ "logic mở khóa token". Thật tiếc, Hello 402 đã chọn cách làm không minh bạch nhất.

Rủi ro thao túng tập trung này, mọi người hãy tự cân nhắc mà hành động.