區塊鏈:區塊鏈防御是否“固若金湯”？_fatcoin

盡管區塊鏈的防篡改、分布式存儲、用戶匿名等技術優勢為其發展應用提供了大量的創新空間，但目前區塊鏈技術在各領域的應用模式仍處于大量探索階段，其深入應用仍需漫長的整合和發展過程。

“區塊鏈技術本身仍存在一些內在安全風險，去中心化、自組織的顛覆性本質也可能在技術應用過程中引發一些不容忽視的安全問題。其主要分為系統安全和應用安全兩大類。”

1.系統安全

系統安全主要指的是底層代碼安全、密碼算法的安全以及共識機制的安全。

底層代碼安全是其應用和再開發的保障，其底層代碼的漏洞對于其區塊鏈項目的打擊是致命，需要及時地進行修補。

密碼算法的安全是區塊鏈不可篡改性和匿名性的一個保證，密碼協議永遠是跟隨著當前科技的發展不斷變化的，在量子時代，需要研究更加安全的抗量子密碼協議確保密碼算法的安全。

在共識算法的設計中存在著著名的Trilemma，即Secure、Scalability和Decentralization三者不可兼得，而目前幾乎所有的區塊鏈項目都遇到這種挑戰。

1.1底層代碼的安全性

區塊鏈底層相當于操作系統，由于開發者在開發過程中的疏忽造成的系統漏洞極大程度上影響系統的安全性，并且區塊鏈的更新十分繁瑣和困難，出現漏洞后的更新很可能造成硬分叉，因此底層代碼的安全性十分重要。

尼日利亞eNaira錢包數量已達1300萬個，年內交易價值增長63%:金色財經報道，由于現金短缺，尼日利亞人開始轉向該國央行數字貨幣（CBDC）。尼日利亞央行（CBN）行長Godwin Emefiele在新聞發布會上對記者說，自去年10月以來，eNaira錢包的數量增長了12倍多，達到1300萬個，今年的交易價值增長了63%，達到220億奈拉（合4800萬美元）。該國CBDC于2021年10月推出。（彭博社）[2023/3/22 13:19:46]

2018年8月的BitcoinABC代碼漏洞事件向我們展現了底層代碼漏洞的危害性。根據BitcoinABC的官方報告，黑客可以通過這個漏洞構建一個惡意交易，該交易將被某一特定版本的BitcoinABC接收，但會被其他所有版本的比特幣現金拒絕。這樣一個漏洞的結果可能是形成比特幣現金的分叉，即使使用敏感版本的礦工接受了惡意交易，其他礦工也不會接受的。BitcoinABC表示他們已經直接向相關的礦業池運營商提供了補丁。這一事件說明漏洞總是會發生，但在重構這樣一個關鍵代碼時，應該花更多的時間和精力進行代碼審查。

1.2密碼算法的安全性

隨著量子計算機的發展將會給現在使用的密碼體系帶來重大的安全威脅。區塊鏈主要依賴橢圓曲線公鑰加密算法生成數字簽名來安全地交易，目前最常用的ECDSA、RSA、DSA等在理論上都不能承受量子攻擊，將會存在較大的風險，越來越多的研究人員開始關注能夠抵抗量子攻擊的密碼算法。

Discord推出AI聊天機器人等三種新AI實驗，并啟動AI孵化器:3月10日消息，Discord宣布推出三種新的AI實驗，包括AI聊天機器人Clyde、AutoMod AI和Conversation Summaries，并啟動AI孵化器。其中，下周開始，Clyde將使用Open AI技術向用戶開放，包括回答問題和與朋友共同擴展對話，只需在服務器中輸入@Clyde，就可以在任何頻道與Clyde聊天。

此外，Discord還推出Avatar Remix來構建社交AI體驗，允許使用生成圖像模型重新混合彼此的頭像。關于AI孵化器，去年秋天，Discord宣布創建第一個生態系統基金，并承諾提供500萬美元資助戰略合作伙伴、開發人員和早期初創企業。該AI孵化器為希望在Discord上構建AI的開發人員提供資源。[2023/3/10 12:54:06]

1.3共識機制的安全性

對于一個共識協議，要滿足以下三個特性：

·CommonPrefix：對于任何兩個誠實節點，他們的本地視圖除卻最后有限個塊之后，所有誠實節點看到的鏈的視圖是一致的。

·ChainGrowth：保證區塊鏈能夠正常的增長，并且增長速度穩定。

·ChainQuality：對于一條鏈，任意截取其中一段，總有一部分是誠實節點產生的塊。

以下列出目前一些針對共識的攻擊手段。

1.3.151%攻擊

在比特幣中，若惡意用戶控制節點中大多數的計算資源，就有能力新改寫整個公有賬本，這被稱為51%攻擊。由于區塊鏈網絡的開放性和當前整個網絡的算力不均衡性，尤其是專業挖礦芯片公司的產生與大礦池的形成，使其發生51%攻擊的可能性顯著提高。51%攻擊會引發對于區塊鏈的破壞以及對整個密碼貨幣的破壞，不管攻擊成功與否都會讓其置于自私挖礦，雙花攻擊，分叉攻擊等危險之下。

元宇宙專委會執行會長：ChatGPT為元宇宙按下“加速鍵”:金色財經報道，最近ChatGPT十分火爆，勁頭似乎要蓋過元宇宙。ChatGPT來了，元宇宙是不是冷了？對此，中國計算機行業協會元宇宙產業專委會執行會長羅軍表示，二者都需要海量的數據、算力和算法支撐，這也是人工智能的底座，沒有強大的人工智能技術，ChatGPT和元宇宙都無法實現；而ChatGPT技術的進一步成熟，為元宇宙的普及和應用掃清了諸多障礙，走出了關鍵的第一步，先是語言的交互，然后才是行為的交互。我們有信心認為，ChatGPT的出現，將元宇宙至少提前了10年，在2030年前，元宇宙將無處不在。（中新網）[2023/2/20 12:17:24]

最近Horizen團隊,對于51%攻擊提出了其創新的解決方案：通過“延時函數”升級他們的工作量驗證共識算法，來處罰蓄謀這種攻擊的礦工。

1.3.2自私挖礦

比特幣的經濟激勵機制和自身的去中心化的特性是比特幣系統依然能夠良好運行的關鍵。但是，由于礦工的逐利性和當前比特幣系統算力的不均衡，使得當前比特幣系統受到了嚴峻的挑戰，以色列學者IttayEyal在2014年提出了自私挖礦(selfishmining)的攻擊方式。攻擊者只要能控制全網超過1/3的算力,就可以發起自私挖礦攻擊,獲取更大的收益,并對網絡安全造成威脅。

最近，康奈爾大學兩位研究員CyrilGrunspan和RicardoPerez-Marco的論文中通過探討攻擊向量與時間的關系，給出其相應的解決方案。

A16z投票反對在BNB Chain上部署Uniswap V3的提案:金色財經報道，OxPlasma實驗室提出了在BNB鏈上部署Uniswap V3的建議，使用Wormhole進行部署。A16z使用所有的1500萬UNI代幣投票反對該提案。投票將于2月10日結束。

Andreessen Horowitz的加密貨幣部門a16z支持LayerZero作為橋梁，而Jump則投資于Wormhole。a16z的合伙人Eddie Lazzarin表示，如果技術上支持，我們會把1500萬代幣投給LayerZero。在未來的快照投票中，我們也會這樣做。[2023/2/6 11:49:07]

1.3.3分區攻擊

在P2P網絡里,只要控制一定數量的節點,就可以進行EclipseAttack[,從而發起51%攻擊,控制整個網絡。這是一種分區攻擊。分區攻擊通過區塊鏈部分網絡的完全隔離實現即使當前控制的算力小于51%，但仍能發起51%攻擊。由于分區攻擊發起的前提為控制被隔離網絡的所有節點，所以攻擊成本較大，分區攻擊并不是單獨發起的往往伴隨著雙花，自私挖礦等攻擊，使其攻擊者獲得較大利益。

1.3.4NAS攻擊

針對PoW共識算法的出現的算力集中問題，PoS的提出在一定程度上解決了上述問題，然而伴隨而來的是區塊分叉的NAS攻擊。由于在類似于PoS的共識算法中，區塊分叉的成本支付是極小，礦工為實現自身利益的最大化和風險的最小化，會同時在多個分叉上進行挖礦，使其區塊鏈網絡得不到及時的收斂，從而破壞共識。

安全團隊：LegendaryOwls項目Discord服務器遭到攻擊:金色財經消息，據CertiK監測，LegendaryOwls項目Discord服務器遭到攻擊，其發布的azukiz[.].com是一個釣魚網站。請社區用戶不要點擊、鑄造或批準任何交易。[2022/8/17 12:30:55]

當前對于NAS攻擊的解決方案主要是保證金機制，即為了有資格獲得塊投票的獎勵，用戶必須付保證金，如果用戶被發現在多個叉投票，那個交易證明將被放在原來的鏈上，取消用戶的獎勵。

2.應用安全

應用安全主要指的是智能合約安全、數字錢包安全以及隱私保護。

智能合約安全是當前區塊鏈安全問題中一個重要的問題，當前許多區塊鏈的安全事件都與智能合約的安全有一定的聯系，這也是區塊鏈應用發展的一個不可避免的問題。

區塊鏈錢包是儲存和使用數字虛擬貨幣的工具，區塊鏈錢包對虛擬幣的持有者們是非常重要的其重要性等同于現實生活中的銀行卡，所以區塊鏈錢包安全是至關重要的。

隱私保護一直是隱私性和安全性兩難的問題，對于用戶我們希望不要泄露其自身信息的同時享有其安全性，通過環簽名、承諾協議和零知識證明可以有效地在保護隱私的同時保障其安全性。

2.1智能合約的安全性

智能合約具有不可更改的性質，并且和密碼貨幣強相關，因此智能合約出現安全問題會造成嚴重后果和經濟損失。

2010年8月15日，比特幣區塊鏈的第74638塊上被發現了一條包含有92233720368.54277039BTC的交易記錄，而且這些比特幣僅被發送到兩個比特幣地址。而導致這次攻擊的原因，是由于比特幣代碼中的大整數溢出漏洞。為使這筆交易失效，比特幣核心開發人員開發了比特幣補丁版本，并啟動了硬分叉。在33個區塊的競爭之后，帶補丁版本的區塊鏈才成為主鏈，消除了原有漏洞的影響。

2016年6月，以太坊最大眾籌項目TheDAO被攻擊，黑客獲得超過350萬個以太幣，后來導致以太坊分叉為ETH和ETC。

新加坡國立大學的LoiLuu提出了現在的智能合約存在的幾種安全漏洞。

2.1.1交易順序依賴合約

交易順序依賴就是智能合約的執行隨著當前交易處理的順序不同而產生差異。智能合約在執行交易時，會將合約狀態進行更新，在傳統公有鏈上其未處理的交易順序并沒有完全確定，不同的交易順序的執行會產生不同的合約狀態，這樣就會導致用戶期待的調用合約時的狀態與實際的合約狀態產生差異；當前合約的狀態取決于礦工在執行智能合約時對交易的調用順序，而這種合約狀態的不一致往往是其安全漏洞的來源。

2.1.2時間戳依賴合約

按照以太坊的對于時間戳的要求，礦工在處理一個新的區塊時，如果新的區塊的時間戳大于上一個區塊，并且時間戳之差小于900秒，那么這個新區塊的時間戳就是合法的。攻擊者可以更改時間戳值或者可以選擇不同的塊的時間戳來操縱依賴于時間戳的智能合約的結果。

2.1.3誤操作異常

在以太坊中，一個合約調用另一個合約可以通過send指令或直接調用另一個合約的函數。然而在調用過程中出現異常時，被調用的合約會中止執行，回退到調用前的狀態并返回false給調用合約。但是取決于合約調用方式的不同，被調用合約的異常可能無法立即被調用者獲知。這種不一致的異常傳播策略導致多種異常處理不當的情況發生。

2.1.4可重入攻擊

在以太坊中，當一個合約調用另一個合約的時候，當前的操作就要等到調用結束之后才會繼續。這時，如果被調用者需要使用調用者當前所處的狀態，不考慮被調用方可能的惡意行為就可能產生了問題，而且該問題可能再合約編寫時不能立即被發現。著名的DAO攻擊事件就是因為這個漏洞而發生的，導致了3,600,000個以太幣被盜取，總價值達60,000,000美元。

2.1.5智能合約檢測

智能合約本質是一段運行在區塊鏈網絡中的代碼，它完成用戶所賦予的業務邏輯。通俗的來說，相當于是一個“不可改變”且“公正”的“中間人”。但是由于代碼是程序員編寫的，不免會產生各種各樣的bug，但是由于智能合約一旦部署就不能修改的特點，一旦智能合約存在安全性隱患就會造成不可挽回的惡劣后果。

因此，在智能合約部署之前對其進行安全性檢測尤為重要。目前，智能合約的檢測的發展方向有以下三個方向：

·交由專業的檢測機構進行檢測

·智能合約檢測工具進行檢測

·形式化證明的檢測方式進行檢測

2.2數字錢包的安全性

數字錢包保存著用戶的密碼貨幣，主要存在的安全風險有以下三點。

第一，設計缺陷。2014年底，某簽報因一個嚴重的隨機數問題造成用戶丟失數百枚數字資產。

第二，數字錢包中包含惡意代碼。

第三，電腦、手機丟失或損壞導致的丟失資產。

應對措施主要有四個方面：

·確保私鑰的隨機性；

·在軟件安裝前進行散列值校驗，確保數字錢包軟件沒有被篡改過；

·使用冷錢包；

·對私鑰進行備份。

3隱私保護

在公有鏈中,需要對交易數據、地址、身份等敏感信息進行保護,同時又能讓記賬節點驗證交易的合法性;對于聯盟鏈,在構建隱私保護方案的同時,需考慮可監管性/授權追蹤。可以通過采用高效的零知識證明、承諾、證據不可區分等密碼學原語與方案來實現交易身份及內容隱私保護;基于環簽名、群簽名等密碼學方案的隱私保護機制、基于分級證書機制的隱私保護機制也是可選方案;“也可通過采用高效的同態加密方案或安全多方計算方案來實現交易內容的隱私保護;還可采用混幣機制實現簡單的隱私保護。”

混幣技術

對于單個用戶的交易圖進行大數據分析可以進行交易追蹤，有鑒于此研究人員提出了混幣技術旨在將多筆不相關的輸入進行混合后輸出,使得外界無法關聯交易的輸入與輸出,從而分辨不出數字貨幣的流向。GregoryMaxwell于2013年提出了CoinJoin匿名混幣技術,CoinJoin的使用者需要委托可信的第三方,來構造一筆混合多筆輸入的交易，其提供服務的第三方可以知道混幣交易的流向。TumbleBit協議提出了不同于CoinJoin的混幣協議方案,雖然仍然需要第三方參與,但第三方無法知道交易細節,僅僅是提供服務，即第三方可以是任意第三方而不僅僅是可信的第三方。

鏈喬教育資源庫“區塊鏈安全問題研究”

鏈喬教育資源庫“區塊鏈隱私保護”

來源：金色財經

Tags：區塊鏈比特幣OIN元宇宙區塊鏈域名誰在管理閃電比特幣最新消息fatcoin佛薩奇元宇宙騙局大揭秘

POL幣最新價格