Banana Gun暴漲後因“合約漏洞”重啓項目？智能合約審計為何如此重要

2023-09-14 00:09:30

即使在熊市，Web3生態也會湧入幾個“項目熱潮”，你希望能夠快速致富，卻總是陷入另一種風險。

9月12日，萬衆期待的Telegram機器人Banana Gun的原生代幣 BANANA 推出， 隨後價格在推出後不到 3 小時內就從峯值 8.7 美元跌至 0.02 美元，跳水接近歸零。

Banana Gun 的官方公告將其歸咎於 代幣合約中的一個團隊無法修復的錯誤， 並指出“盡管經過了兩次審核”。Banana Gun之後表示，正在審計新合約來處理本次錯誤。

為了應對漏洞危機，項目團隊制定了兩步緩解策略。首先，決定出售財務投資組合以耗盡凍結的現金，並打算將其重新用於新的合約。 其次，他們承諾盡快重新啓動該項目，並提供空投以補償受影響的參與者。

項目方因為合約漏洞決定重啓項目，導致幣價跳水。最後，受傷的依然是“衝”進去的用戶們。同時，我們也看到智能合約的安全審計為什么這么重要。

什么是Banana Gun？為何熱度這么高

Banana Gun 是一款基於 Telegram 的Trading Bot (交易機器人），官方介紹能夠為用戶及時狙擊即將推出的代幣，或安全地購买已經上线的代幣。

在 Banana Gun 的交易設置裏，分別有“手動交易”和“自動狙擊”，相同的條件為防範Rug, MEV保護，5個錢包地址限額。手動交易操作的費率低一些 0.5%，自動狙擊的費率則為 0.75%。

從六月份起开始有用戶湧入；七月Bot用戶數破百，再到破千；八月的用戶高峯突破2000，截止目前9月初，日活在2500左右，佔頭部項目的用戶總量的35%左右。

目前累計的交易量，Banana Gun已經超過 Unibot 交易量的一半。 可見即使在熊市中，被稱為“degens”的熱切參與者也會急切地尋找快速積累財富的機會。

Banana Gun合約漏洞是如何被發現的？

目前，一位匿名程序員聲稱使用 OpenAI 的ChatGPT來發現合約缺陷。他把代碼復制到ChatGPT上，結果發現了漏洞。

Beosin安全團隊將代幣合約中有關稅收部分的代碼存在漏洞分享如下：

可以看到，在_transfer()中，Banana Gun團隊錯誤地將 (senderBalance - amount) 的結果賦值給_balances[from]。senderBalance - amount的結果為余額加上fees（代幣交易需扣除的稅收），而_balances[from]為賣家。如此一來，賣家賣出代幣後還可以得到賣幣的稅收，而 Banana Gun 金庫也會增加稅收，相當於 $BANANA 會一直處於通脹的狀態。

最後，可以這樣理解：這個事件是項目方後知後覺發現合約有漏洞，因此決定先將原本漏洞合約的流動池耗盡，才導致幣價幾乎趨近於 0 。隨後Banana Gun團隊決定部署新的代幣合約，並對持有者進行快照。對於虧損的持有者，他們後續也將出臺相應的補償方案。

合約審計為何這么重要？用戶如何做到安全防範？

可以看到智能合約審計在Web3生態系統中具有重要性。比如上面提到的Banana Gun， 由於智能合約處理着重要的資產和交易，審計變得至關重要。

智能合約中的漏洞和安全問題可能導致資金損失、數據泄露或合約被操縱。審計有助於發現和修復這些潛在的漏洞和弱點，確保合約的安全性和可靠性。對合約進行全面審查，可以提前預防潛在的攻擊，並確保用戶的資金和數據安全。

同時，用戶在選擇項目時也需要注意：

1. 對項目進行充分調研。用戶應當通過項目官網，文檔，社區頻道，代碼審計報告等方面對項目的運行邏輯和潛在風險有足夠的了解，避免落入騙局。

2. 及時關注項目的最新進展。用戶應通過項目的官方推特，電報群，Discord群組等方式及時地了解項目的發展狀況，以便在最短時間對Rug Pull，合約漏洞或是黑客攻擊做出反應。

3. 在即將上线的 Beosin EagleEye 平臺。用戶可以在 Beosin EagleEye 平臺上輸入某一代幣的合約地址，EagleEye會對其合約代碼進行檢測，並給出相應的風險提醒。 如EagleEye 對於 $Banana 的提醒為該代幣合約可以修改稅收，有honeypot風險；有白名單功能，某些地址權限過大。此外，EagleEye 還提供監控功能，用戶可以使用 EagleEye 對某一地址進行實時監控，進行預警。