В сети Binance Smart Chain продолжают работать проекты, имеющие определённые уязвимости. Одна из них была использована кем-то, у кого был доступ к адресу администратора pancakeswap.
Рандомность – это давняя проблема смарт-контрактов. Solidity не имеет собственной функции рандомности, и все её источники должны находиться в сети. В проектах используются такие вещи, как заголовки блоков, хеши транзакций и многое другое для создания источников рандомности, но ни один из них не является действительно случайным – они псевдослучайны.
Эта проблема приводила к использованию уязвимостей в прошлом, например, уязвимость Meebits. Номера лотереи PancakeSwap были сгенерированы на основе определённых предсказуемых условий. Злоумышленник может использовать эту информацию, чтобы заранее предсказать числа, опустошив таким образом весь пул.
Автор этого сообщения предоставил доказательства того, что мы можем иметь дело с недобросовестностью администраторов PancakeSwap, учитывая, что они создали контракт, «нашли» эксплоит и забрали деньги, используя собственный адрес.
Несмотря на то, что учётная запись администратора действительно использовала эксплоит и вывела средства, всё же они не были украдены. И хотя официального заявления от команды PancakeSwap ещё не было, скорее всего, это попытка не позволить злоумышленнику обнаружить ошибку и использовать её.
Это следует из того, что администраторы PancakeSwap использовали для блокировки средств свой публично известный адрес. Если бы речь шла о злонамеренных действиях, то, несомненно, они бы использовали анонимную учётную запись. Во-вторых, средства, полученные из лотерейного пула, сжигаются партиями по адресу администратора.
Конечно, сам факт наличия ошибки уже не радует, но его обработка командой вселяет некоторую уверенность, что в PancakeSwap готовы исправить проблему, пусть для этого даже придётся прибегнуть к сомнительным мерам.