山寨FOMO 3D风险分析报告

Fomo3D概况

近日,一款庞氏赌博区块链游戏——FOMO 3D风靡网络,从2018年7月6日游戏合约正式发布到2018年7月26日22点50分,奖金池金额已高达21,626.9552ETH,游戏总吸引资产95,759.365ETH,玩家人数高达18,258人,吸金能力十分惊人。然而真正的后遗症并不是大家一股脑地参与,而是FOMO 3D带来的一系列蝴蝶效应——山寨成风。

山寨合约抬头

7月20日,首发山寨合约;7月21日山寨事件开始升温,越来越多的山寨合约入场;7月22日更多仿冒智能合约涌现出来,大小资金盘相继流入,FOMO 3D系列山寨合约出现爆发式增长。RatingToken智能合约监控平台发现了这些“高仿品”, 并在第一时间发布预警快讯。

截止到25日,RatingToken实时监控预警平台共监测到156项山寨游戏合约。23日山寨游戏数量增长量最高,达到日新增45项;目前山寨合约新增速度减缓。

山寨合约每日新增数量统计:

山寨合约参与者排名前十的为:

交易量排名前十的为:

交易金额相关统计前十:

安全风险分析

在156个新增山寨游戏项目中,近87.2%的山寨合约代码与原FOMO 3D游戏代码高度相似。我们对其中各项指数排名均排名位于前三位的f3dplus游戏的合约代码进行了详细的安全审计。

该山寨游戏的合约地址为:0x0f90ef4e2526E3D1791862574f9Fb26A0f39eC86

合约代码地址:https://etherscan.io/address/0x0f90ef4e2526E3D1791862574f9Fb26A0f39eC86#code

游戏主页:https://f3dplus.me/play(游戏第一轮已结束,但仍有大量资金持续转入)

该游戏已于7月26日上午9点46分结束,最终奖金按游戏规则应分配给0x70c03a455a7c7de208ca5b97488212832b8ce157。但目前RatingToken还未检测到奖金发放相关交易,并且游戏关闭后,仍还存在64个待确认的交易。

通过审计,我们发现该山寨合约存在以下修改项:

规则修改

左侧为官方代码,右侧为山寨合约代码

山寨代码修改了交易的计时器时间,将计时器的初始时间设置为了8分钟,每购买一次Key,会增加1秒,计时器上线不超过10分钟,这使得可以进行快速地开奖,增加了游戏的刺激性,吸引了更多想要谋利的玩家参与游戏。

除规则修改之外,该山寨合约还包含了以下4项风险:

1、随机数误用漏洞

空投函数与原官方代码一致,均存在随机数误用漏洞。由于随机种子算法是公开在以太坊上任何人可以查看的,攻击者可以在发送购买Key交易之前计算好下一笔交易是否会发送空投,从而保证自己能大概率地获取到空投奖励。以太坊核心开发者Péter Szilágyi也在Reddit上公布了该漏洞的利用代码。且地址为0x73b61a56cb93c17a1f5fb21c01cfe0fb23f132c3的合约已经成功利用该漏洞从官方FOMO 3D游戏中获取空投奖励。

2、调用空接口

山寨合约的playerbook接口的地址修改为:0x004f29f33530cfa4a9f10e1a83ca4063ce96df7149,而经查验,该地址并不存在。这将导致合约的执行会进入异常状态。

3、资金分配不明确

代码中通过TeamFee设置资金分配比例,以蛇队2为例,分配方案为fees_[2]=F3Ddatasets.TeamFee(52,10)。表示资金有52%分配给了本轮key的所有持有者,10%分配给了p3d的持有者,而还有20%分配进入奖金池,10%给aff,2%给com,1%给swap,1%用于空投,剩下4%不知所踪;类似的fees_[0]、fees_[1]、fees_[3]对应的战队的资金分配方案均存在该类分配不明确问题。

4、资产钓鱼

左侧为官方代码,右侧为山寨合约代码

最为严重的是山寨合约修改了其自身可以从购买金额中获取的金额。从代码中可以看出,每笔用于购买Key的资金的一半都转入了合约创建者admin的账户中。这种钓鱼手段可以迅速地吸引大量不知情用户购买山寨Key并获取其中大量利益。

山寨有风险,入场需谨慎。RatingToken提醒广大游戏玩家慎重参与类似游戏,防止资产损失。随后,RatingToken安全团队也会给出详细的漏洞分析、利用报告,并持续监控山寨FOMO 3D游戏的进展,以实际行动净化币圈,保证用户资产安全。

 

RatingToken简介:

RatingToken是由猎豹移动(NYSE: CMCM)旗下“区块风豹实验室”孵化的大数据评级机构,借助猎豹移动在安全领域积累的技术优势以及在工具产品开发方面的丰富经验,为用户提供具有安全性、实用性的技术及产品,以促进区块链行业的发展和生态的完善,让用户和合作伙伴真正受益于区块链技术的创新。

RatingToken于2018年4月成立,以“净化币圈”为使命,致力于为区块链行业提供安全方面的专业性建议。团队基于自身技术实力,通过对海量数据的分析,一方面以更可视化、直观易读的图表方式为投资者提供投资决策参考,一方面则以实时监测代币情况的方式服务交易所与投资机构。

官方地址:https://ratingtoken.io/

合作联系方式:ratingtoken@gmail.com

官方二维码: