引子：“真行者珞珈山诉苦，假猴王水帘洞誊文。”——《西游记·第五十八回》在《西游记》中，六耳猕猴冒充猴王孙悟空，以假乱真，过了唐僧，过了众神，纵使是照妖镜也分不出真假。现在，智能合约遇上了“六耳猕猴”，又会擦出怎样的火花？
在智能合约中，构造函数负责一些数据的初始化工作，owner值一般也会放在构造函数中进行初始化。owner是智能合约拥有者的称呼，也常被用来作为该合约的超级管理员。对代币合约来说，owner可能被分配的权限有：铸造/销毁代币、冻结代币等。如果开发者以错误的语法创建“构造函数”，造成构造函数缺失，致使“六耳猕猴”以假乱真，瞒过了开发者，最后使得攻击者成为合约的拥有者，那么攻击者便可依赖owner的权限，对代币进行增发或销毁等操作，进而可能造成整个代币的崩盘。一、构造函数简介
稳定币crvUSD科普创新清算机制LLAMMA，可在抵押品价格下跌时逐步替换为稳定币:1月17日消息，Curve官方科普其稳定币crvUSD创新的清算机制LLAMMA，解释了LLAMMA通过AMM的特性进行针对债务人更友善的清算方式，让抵押品在价格下跌时逐渐转移成稳定币，让原本要清偿的债务有一定程度的稳定币可以偿还，同时在价格回稳时再逐渐把稳定币换回抵押品，而不是直接的触发清算导致债务人的亏损。
此前报道，2022年11月23日，去中心化交易平台CurveFinance开发者发布Curve即将推出的去中心化Stablecoin“crvUSD”的官方代码和白皮书。[2023/1/17 11:17:13]
在Solidity语言中，当函数名和合约名相同时，此函数就是合约的构造函数，在合约对象创建时，会先调用构造函数对相关的数据进行初始化。以太坊Solidity0.4.22版本中引入了关键字constructor，新的构造函数声明形式：constructor()public{}，引入的目的是用以替代低版本中将合约名作为构造函数名的语法形式，从而避免开发者笔误造成构造函数命名错误的问题。引入的这个关键字看似平淡无奇，实则意蕴深刻，且听我慢慢道来。
徐明星新书《趣说金融史》正式发布 科普金融发展之道:金色财经现场报道，9月23日，欧科云链创始人徐明星携手著名财经作家李霁月、行业观察者顾泽辉力作《趣说金融史》一书，跨越5000年金融历史，重读金钱故事，并预测新的金融时代。该书由中信出版社出版，将于近期正式发售。据了解，本书可以更好地呈现金融的起源与发展，帮助人们理解货币、金融与未来经济。作为区块链行业领军企业——欧科云链的创始人，徐明星深知技术探索对经济社会的重要推动作用，他曾先后出版过《图说区块链》、《区块链：重塑经济与世界》、《通证经济》、《链与未来》等行业权威著作，解读区块链等新型技术的推动下，金融与社会的升级之道，对经济社会发展做出了重大贡献。其中，《区块链：重塑经济与世界》曾作为新中国70周年重点推荐图书之一被相关书店推荐。[2021/9/23 17:00:57]
Web3音乐平台Melos.Studio宣布与韩国音乐公司The Givers建立全面合作关系:6月2日消息，Web3共享音乐内容创作平台Melos Studio将与The Givers 合作，并且进军韩国市场。对全球音乐爱好者来说，通过挖掘更多的音乐创作者和优秀的艺人群体，以及发掘有机会在Web3上创作音乐内容的传统艺人，促进追随者经济生态的增长。
Melos是一个去中心化Web3音乐协作平台。该平台为所有音乐爱好者和创作者提供服务。目前，该平台拥有1000多名合作的音乐人以及超过60个国家和100万用户注册量。 Melos.Studio的投资机构包括：Binance Labs、Dapper Labs、Innovion、NGC Ventures和Multichain Capital。
The Givers是韩国音乐公司之一，致力于知识产权资产管理、营销、内容规划/开发、唱片制作、艺术家管理（全球性）和艺人咨询服务。
The Givers 首席执行官Siahn 在音乐产业和新媒体领域拥有超过 25 年的丰富工作经验。他曾担任韩国华纳音乐和Blossom Entertainment的制作总监。合作艺人包括：NCT 127、Stray Kids、Super Junior、Chung Ha、Momoland等。[2022/6/2 3:58:49]
二、Fal1out“以假乱真？”
动态 | Web3Journal创始人指责OpenLibra提议者倾销ICO项目Wireline:一名中国投资者指控Libra无许可版本“OpenLibra”的提议者Lucas Geiger倾销2018年ICO项目Wireline。Web3Journal创始人Andrew Lee声称，他和朋友在2018年向Lucas的ICO项目投资100万美元，但没有看到创始人采取任何实际行动。他表示，Lucas已经几个月没有回复消息。在诱使他们投资Wireline之前，Lucas和项目顾问Sizhao Yang做了很多虚假承诺：声称OmiseGO创建者将负责营销，以太坊社区基金（ECF）将投资。Andrew表示，不建议任何人投资OpenLibra。注：Wireline公司联合创始人Lucas Geiger近日在日本Devcon 5会议上宣布，他们将创建名为“OpenLibra”的区块链，这将是Facebook区块链的无许可版本。（News Logical）[2019/10/10]
–漏洞分析下面以ethernaut靶场的Fallout题目为例进行分析。一眼看去，这似乎是一个正常没有漏洞的合约代码，但经过仔细观察发现，该合约存在一个致命错误——构造函数名称与合约名称不一致，Fallout合约的构造函数被写错成了Fal1out。这样的错误使其成为了一个被public修饰的普通函数，失去了构造函数仅在合约部署时被调用的特性，使得任何人都可以调用。该题目源码如下图所示：
图1在Fal1out函数中直接指定了函数调用者的地址即为owner，所以只需要调用Fal1out函数即可实现对合约owner的更改。如下图所示：
图2“假猴王”Fal1out想借着一些字体类型的相似字符的视觉差异混淆视听，可最终还是没能逃过我们的“火眼金睛”。三、前车之覆：
MorphToken事件分析在过去也曾发生过类似的安全事件，包含着假构造函数的合约被成功发布到主链上，其中比较出名的是“MorphToken事件”，其因为一个看似很小的问题而造成了数千万市值的代币被增发。合约代码地址：https://etherscan.io/address/0x2ef27bf41236bd859a95209e17a43fbd26851f92#code在Owned合约中，由于首字母大小写的错误，导致本该成为构造函数的Owned成为了普通函数owned，且被public修饰，可供任何人调用。如下图所示：
图3MorphToken合约继承了Owned合约，并在自己的构造函数内进行了owner的初始化，但是父合约Owned的owned函数是可供任何人调用的，攻击者便可通过调用owned函数更改合约的所有者owner。owner的初始化代码如下图所示：
图4由上述可知，任何人都可以通过调用合约的owned函数，成为合约的拥有者(owner)。如下图所示：
图5失之毫厘，差之千里，一个小小的字母错误，却导致了合约的代币的崩盘。代币也被恶意增发。如下图所示：
图6四、后车之鉴：
开发者应如何正确使用构造函数建议更换Solidity0.4.22及以上版本，并使用正确的constructor()语法。如下图所示：
图7切记：constructor()前并无function，functionconstructor()public{}为错误的构造函数形式。如果要使用低于0.4.22的版本，则一定要着重检查函数名是否和合约名一致。如下图所示：
图8五、安全建议
在智能合约中因开发者粗心，而造成安全漏洞的事件层出不穷，“千里之堤，溃于蚁穴”，成都链安-安全实验室在此给出如下建议：1、开发者在编写智能合约敏感函数时，应严格按照官方要求的代码书写规范，注意不要出现字符错误等情况。2、在某些情况下，编译器会对constructor的错误使用发出警告，开发者应予以正确对待，不可认为其只是警告信息而忽略不处理。3、在合约正式上线前一定要找专业可信的机构做好合约代码的审计工作。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。