安比（SECBIT）實驗室根據ICX項目官方github倉庫中報告的一個智能合約代碼的漏洞，深入分析后確認該漏洞產生的原因是任何人都能隨意開啟和關停合約的主要功能（包括轉賬，授權和燒幣）。
github地址：https://github.com/icon-foundation/ico/issues/3 （匯報人id：VexyCats）
ICX的 Token 合約中有一個變量tokenTransfer，只有該變量為true時，所有解鎖的賬戶才可能執行轉賬，授權他人轉賬和燒幣的操作（這幾個操作的函數均使用了isTokenTransfer修飾器）。其中，unlockaddress數組保存著所有的解鎖賬戶的狀態，由owner來設置。
在ICX 的 Token 合約中，有兩個函數enableTokenTransfer() 和disableTokenTransfer()，用來修改tokenTransfer的值。
這兩個函數均使用了一個修飾器，名稱為onlyFromWallet。從字面意思理解來看，這個修飾器的作用是僅有walletAddress 賬戶才可以調用這兩個函數。然后不幸的是，在onlyFromWallet的具體實現中，將判斷條件寫反了！！！也就是說，除了walletAddress以外，所有賬戶都可以通過修改tokenTransfer，來控制合約功能的開啟和關停。
目前，ICX項目的Token已經在幣安、OKex、火幣等著名交易所上線交易。但安比實驗室提醒大家無需恐慌，該Bug只會導致這部分功能暫時無法正常使用，并不會對賬戶本身的安全造成實質性的影響。同時，經過與項目方接觸，對方回復已經采取措施，保護交易不受影響，同時也在積極修復此Bug。
從此Bug也可以看出，ICX項目的智能合約在部署前缺少測試和安全審計，安比實驗室再次提醒各項目方，一定要加強智能合約的測試和安全審計工作。
以上觀點由安比（SECBIT）實驗室提供。
版權申明：本內容來自于互聯網，屬第三方匯集推薦平臺。本文的版權歸原作者所有，文章言論不代表鏈門戶的觀點，鏈門戶不承擔任何法律責任。如有侵權請聯系QQ：3341927519進行反饋。
