雷鋒網(wǎng)1月4日消息，曾攻擊過BetDice、ToBet 等游戲的黑客團伙再次向 LuckyMe、GameBet 發(fā)動攻擊。不同于上次，此次黑客采用的手法是主要針對項目方的重放攻擊。據(jù)統(tǒng)計，黑客團伙共投入金額3773.95 EOS，收入 6906.6 EOS，共獲利 3132.65 EOS。

據(jù)慢霧安全團隊威脅情報分析，此次攻擊主要分為三步：

1、向游戲合約的全節(jié)點服務器發(fā)送交易，攻擊者首先調(diào)用非黑名單合約的transfer函數(shù)，其內(nèi)部有一個inline action進行下注，from填寫的是攻擊者控制的非黑名單合約帳號，to填寫的是游戲合約帳號；

2、游戲節(jié)點讀取交易，立刻進行開獎。一旦中獎將對攻擊者獲取到的非黑名單帳號發(fā)送 EOS；

3、為了避開由于項目方開獎和交易 id 綁定而導致的下注交易和開獎交易被回滾。攻擊者可以在項目方節(jié)點公布交易時監(jiān)聽到開獎結(jié)果，再用相同參數(shù)的合約賬號發(fā)起相同交易。由于actor 為合約帳號本身，即可成功中獎；

對此，慢霧安全團隊給出了如下幾點防御建議：

1、開啟節(jié)點read only模式，防止未知模塊出現(xiàn)在節(jié)點服務器上；

2、建立開獎依賴，若節(jié)點服務器開獎成功，但是在bp上下注訂單被回滾，相應的開獎記錄也會回滾；

3、驗證玩家交易中的actor和from是否為同一賬號；

4、接入專業(yè)的DApp防火墻。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。