一 智能合約代碼問題

1 代碼數(shù)值溢出漏洞（狼人殺，比如asset類乘法存在檢查溢出無效）
2 未檢查code == eosio.token (假幣風(fēng)險)
寫智能合約入口，dispacher時，沒有做關(guān)鍵的檢查
3 轉(zhuǎn)賬通知里，未判斷 to == _self

二 偽隨機(jī)數(shù)代碼重存在的一些問題

1 使用tapos_block_prefix,tapos_block_num，transacation_id來當(dāng)做隨機(jī)數(shù)種子,可以預(yù)測

解決，可以上傳隨機(jī)數(shù)種子

三 同步開獎時被利用智能合約鉤子

1 同步開獎，可以拉取代碼，在主網(wǎng)新建合約同步跑，如果碰到必勝的條件，給正式合約代碼發(fā)交易。
2 發(fā)回執(zhí)，被對方拒絕，導(dǎo)致回滾整個交易
避免的方法：receipt之類的通知，可以采用異步發(fā)起的方式

四 不開源也被擼

1 通過get code取回abi和wast文件，可以分析程序邏輯

五 onchain調(diào)用

abi不是必須的，可以通過一些方法調(diào)用
1 在另外一個智能合約調(diào)用
2 改造客戶端，不要再push action時，去調(diào)用abi