Token风暴
#美国终止政府停摆危机 11月12日,安全機構GoPlus曝光了Hello 402項目的智能合約隱患——這可不是什麼小bug,而是可能讓投資者血本無歸的致命缺陷。
先說最嚴重的:**無限增發後門實錘了**。管理員通過addTokenCredits函數給用戶分配$H402鑄造額度時,壓根沒校驗是否超過MAX_SUPPLY上限。換句話說,理論上想增發多少就增發多少,總量限制形同虛設。
更離譜的還在後頭。redeemTokenCredits函數負責用戶按額度鑄幣,看似正常;但WithdrawDevToken這個函數就很魔幻了——它允許管理員地址一鍵把所有未分配額度全部鑄造出來。這權限大得嚇人,等於項目方隨時能掏空池子。
項目方倒是在推特上信誓旦旦:「這功能只用於私募結束後補齊代幣、搞生態激勵、預留利潤空間」。問題是,**這些承諾沒一條寫進合約代碼**。口頭保證值幾個錢?合約層面啥約束都沒有,違約成本幾乎爲零。
從技術角度講,負責任的團隊完全可以把這些保障措施硬編碼到合約裏:比如設置「私募截止時間戳」,或者寫明「代幣解鎖邏輯」。可惜Hello 402選擇了最不透明的做法。
這種中心化操縱風險,各位自己掂量着辦吧。
查看原文先說最嚴重的:**無限增發後門實錘了**。管理員通過addTokenCredits函數給用戶分配$H402鑄造額度時,壓根沒校驗是否超過MAX_SUPPLY上限。換句話說,理論上想增發多少就增發多少,總量限制形同虛設。
更離譜的還在後頭。redeemTokenCredits函數負責用戶按額度鑄幣,看似正常;但WithdrawDevToken這個函數就很魔幻了——它允許管理員地址一鍵把所有未分配額度全部鑄造出來。這權限大得嚇人,等於項目方隨時能掏空池子。
項目方倒是在推特上信誓旦旦:「這功能只用於私募結束後補齊代幣、搞生態激勵、預留利潤空間」。問題是,**這些承諾沒一條寫進合約代碼**。口頭保證值幾個錢?合約層面啥約束都沒有,違約成本幾乎爲零。
從技術角度講,負責任的團隊完全可以把這些保障措施硬編碼到合約裏:比如設置「私募截止時間戳」,或者寫明「代幣解鎖邏輯」。可惜Hello 402選擇了最不透明的做法。
這種中心化操縱風險,各位自己掂量着辦吧。

