深扒还没发币就曝合约漏洞的哈希世界， VC 联合创业者收割韭菜新套路

原文地址: https://zhuanlan.zhihu.com/p/37305444

本文的使用规则遵循 DO WHAT THE FUCK YOU WANT TO PUBLIC LICENSE。也就是想干嘛就干嘛，允许任何人、任何媒体随意转载。

哈希世界做了两件牛逼的事情

第一：“重新定义”了区块链游戏

在任何的宣传文案和新闻稿中，哈希世界一直声称自己是一款区块链游戏，
然而事实却是：

• 游戏中日常 3 次抽地皮，土地竞拍环节与智能合约毫无关系，全部在服务器完成
• 游戏中土地不上链，竞拍结果由一个未开源的智能合约决定，合约中抽奖逻辑不明
• 该游戏本身未做任何区块链知识的普及，反而关于智能合约的虚假宣传会使得初学者对目前公链的认知产生极大偏差

这一部分内容，在 DappReview 3 月份一篇文章中已经有理有据讲的非常清楚，请查看《哈希世界：推荐一款披着“区块链”外衣的消砖块 H5 小游戏》

本质上，这只是一个 H5 小游戏，靠着每天获取空气币吸引了大量的羊毛党（所谓的百万用户）。

第二：“重新定义”了 ERC 20 代币

DAppReview 在四月份做出预测，按照哈希世界的玩法逻辑，最终玩家变现的方式只有两个，一个是少投资人的钱，一个是自己发一个币，等于是印钞机。

果不其然，最近听到了哈希世界私募发币的风声，差不多要募资 2 万个 ETH。

考虑到最近的智能合约安全性问题，我们来帮贾同学看一下 HSC 的发币代码。

合约地址：

https://etherscan.io/address/0x2bba3cf6de6058cc1b4457ce00deb359e2703d7f#code

看完之后，不仅发现了漏洞，还发现了“颠覆式的创新”。

上行漏洞：

上图部分的乘法没有使用 SafeMath，理论上 amount * sellPrice 有可能发生上行溢出。

这个小漏洞不是最关键的，核心是这个函数，为什么一个代币合约里面会有买卖函数？

来看一下全貌

这三个函数：

第一个函数 setPrices，智能由合约的指定 Owner 调用，可以设置 sellPrice 和 buyPrice.

下面两个函数一个是购买函数 buy，也就是用 ETH 购买 HSC 的函数，按照 buyPrice 定价。另一个是卖出函数 sell，将 HSC 卖出换成 ETH 函数，按照 sellPrice 定价。

这两个函数都可以公共调用，那么这就神奇了，如果有一天 HSC 发币成功上了交易所，其实我们谁都可以套利？

• 如果 交易所的价格 > buyPrice，那么我们只要调用合约 buy 买入，在交易所同时卖出，立马获益。

• 如果 交易所的价格 < sellPrice， 那么我们只要在交易所买入，调用合约 sell 函数同时卖出，还是无风险收益。

因为团队不可能实时的保证 buyPrice 和 sellPrice 与交易所价格一致。

也就是说，这个币种是不可能在交易所流通的，如果不流通，那就更有意思了，一个去中心化的代币，竟然是由中心化来定价。

厉害了。“重新定义”了 ERC20 代币的流通价值，我很想知道 V 神看到之后做什么感想。

不过就算你在合约里乱搞，也没关系，官方还留了一手。

账户冻结。真心爆炸，给你的地址打一个 freeze 标签，你就不能用这个地址转 HSC 代币了。

当然，官方可能会不承认这个合约是他们的，那我来给一些证据吧，该合约的创建者为

0x15Fb1C645D2B77C6F407f3177E4089D299f208F1

这个地址在三月的时候创建了哈希世界的抽奖合约：

0x35a6525236eb72ef0629b046767b9b9ac0bd9757

这个抽奖合约官方一度放在官网的一个 pdf 中公布过地址，但现在已经找不到了，DappReview 仍然保留了截图，如下:

综上所述：

• 一个任何玩法和资产都不上链的游戏，被定义为“区块链游戏”

• 一个中心化定义价格，中心化管理账户权限的代币，被称为“ ERC20 代币”

我服。

昨天，哈希世界的小编原封不动复制粘贴 DappReview 文章《浅谈你们根本不懂的区块链游戏》中的部分段落。

半夜 12 点多，我收到几个朋友发来的哈希世界声明，如下：

我还从来没有看过哪家的道歉公关稿不写出来自己哪一片文章抄了谁的篇文章，不过我相信关于抄袭别人文章这件事本身贾老板是不知情的，但是智能合约的这几个问题，如果做为 CEO 都不知情责任丢给下面的技术，你打算把他们都开掉么？另外，你们的代码审计呢？

是什么就是什么。

不是什么就不是什么。

说出来没什么不好。

DappReview 的核心成员都是游戏资深爱好者，玩过数以千计的游戏，才能写出之前的深度文章。对于区块链游戏行业，DappReview 不会容忍再此出现 ICO 时“劣币驱逐良币”的恶劣市场环境，也不会容忍 VC 联合创业者发币收割韭菜的“新玩法”，我们会带着正规军入场，彻底击垮这些机会主义者和行业毒瘤。

以上。