在加密货币领域，确保系统安全的工作必须“外包”，回应大家早已构成了一种默契。HackerOne 这个网站早已沦为了黑客的聚集地，他们仍然期望利用系统漏洞发动反击，反而更加不愿通过修缮漏洞来取得奖励，而由 Cocos-BCX 开发者社区发动的 COCOS Bug Bounty 正是获取了这样的机会。

COCOS Bug Bounty 是一个邀全球开发者参予 Cocos-BCX 的公链安全性计划。Cocos-BCX 不会将链代码和工具产品代码有节奏、有计划地开源，拒绝接受全球开发者的检验。开发者找到 Bug 后通过邮箱递交，不仅可以根据贡献等级来取得可观的奖励，其所做到贡献还不会使得 Cocos-BCX 公链更为完备。

在提高公链的安全性、可靠性的同时，也不会使得周边工具的体验大大优化和提高。2019年12月24日，Cocos-BCX 技术团队就接到了一名白帽子针对 Cocos-BCX 主网游戏 Dice Dapp 递交 contract.dicegame 合约的漏洞，幸运地的是，该白帽黑客寻找漏洞后主动交还了该游戏账户上被移往的将近30万的 COCOS。因该白帽黑客所递交 Bug 合乎 COCOS Bug Bounty 二级 Bug 奖励拒绝：对用户财产、私钥、账号的安全性问题，链系统脆弱信息泄漏等问题，网卓新闻网，最后取得了 B+ 级奖励，总额 100,000 COCOS。

Bug 漏洞下文表明，由于 dicegame 合约中庄家和开奖逻辑放到一起，攻击者就可以利用这个漏洞展开反击。明确的 dice 合约源码闻：https://github.com/Cocos-BCX/smart-contract-practice/blob/master/code/dicegame.lua基本的反击手法如下：· 攻击者通过脚本登记大量账号以提供 COCOS 原始积累；· 攻击者部署一个回滚反击合约。· 在反击合约中庄家，庄家完结后如果赢了，就通过 assert 中断合约继续执行，如果输掉了，就成功走完所有的合约；· 大大反复过程2，就能把原本的dice合约中所有的cocos都薅回头。

明确的反击合约闻 ：https://github.com/Cocos-BCX/smart-contract-practice/blob/master/code/rollbackattact.lua目前，Cocos-BCX 技术安全性团队早已联系到该游戏研发方通报漏洞并停止涉及合约展开确保，同时获取了两种防卫方法：1、庄家和开奖模块分离；2、回避掉庄家为人为合约的情况。实质上在 Cocos-BCX 链系统中有数作出对应设计，若是该游戏开发者对可靠继续执行环境的设计有充足理解，在上面的反击案例中，他可以采行 Cocos-BCX 智能合约中的函数多投特性，来规避非开发者应用于的合约函数继续执行催促，这是对可靠继续执行环境的一种延伸构建。在改版的版本中，这个特性更进一步升级为可以声明明确的某个函数拒绝多投。

Cocos-BCX 的发展必不可少大家的反对和注目，感激各位开发者给我们明确提出的宝贵建议。期望 Cocos-BCX 主网版本和将来的每一次改版都能给大家带给不一样的体验，奉献有你！针对本次的漏洞找到，该发现者取得Cocos-BCX基金会获取的100K COCOS Token作为鼓舞。最后，青睐开发者注目并参予 COCOS Bug Bounty，可观奖励等你来拿~明确奖励机制请求查阅：https://bounty.cocosbcx.io/static/Cocos_bug_bounty_details.。

本文来源：天博tb体育-www.labortalk.cn