遊戲平台 LuckyMe、GameBet 遭攻擊，黑客團夥共獲利3132.65 EOS

雷鋒網(公衆号：雷鋒網)1月4日消息，曾攻擊過BetDice、ToBet 等遊戲的黑客團夥再次向 LuckyMe、GameBet 發動攻擊。不同于上次，此次黑客采用的手法是主要針對項目方的重播攻擊。據統計，黑客團夥共投入金額3773.95 EOS，收入 6906.6 EOS，共獲利 3132.65 EOS。

據慢霧安全團隊威脅情報分析，此次攻擊主要分為三步：

1、向遊戲合約的全節點伺服器發送交易，攻擊者首先調用非黑名單合約的transfer函數，其内部有一個inline action進行下注，from填寫的是攻擊者控制的非黑名單合約帳号，to填寫的是遊戲合約帳号；

2、遊戲節點讀取交易，立刻進行開獎。一旦中将将對攻擊者擷取到的非黑名單帳号發送 EOS；

3、為了避開由于項目方開獎和交易 id 綁定而導緻的下注交易和開獎交易被復原。攻擊者可以在項目方節點項目方節點廣播交易時監聽到開獎結果，再用相同參數的合約賬号發起相同交易。由于actor 為合約帳号本身，即可成功中獎；

對此，慢霧安全團隊給出了如下幾點防禦建議：

1、開啟節點read only模式，防止未知子產品出現在節點伺服器上；

2、建立開獎依賴，若節點伺服器開獎成功，但是在bp上下注訂單被復原，相應的開獎記錄也會復原；

3、驗證玩家交易中的actor和from是否為同一賬号；

4、接入專業的DApp防火牆；