比特幣價格 比特幣價格
Ctrl+D 比特幣價格
ads
首頁 > 中幣 > Info

區塊鏈:區塊鏈安全問題有哪些類型?_以太坊

Author:

Time:1900/1/1 0:00:00

本文于2018年8月21日由阿爾法公社發布。

一、導語

2018年8月6日,騰訊安全發布《2018上半年區塊鏈安全報告》,報告顯示,目前在全球范圍內,已出現了1600余種加密數字貨幣,2018年上半年,區塊鏈領域因安全問題損失超27億美元,而且因區塊鏈安全事件損失的金額還在不斷攀升。從IOTA「郵件門事件」、USDT「假充值漏洞」、EOS「彩虹攻擊」,到BEC與SMT「整數溢出攻擊漏洞」、BTG「51%算力攻擊」等等,這一系列的事件引發了大家的廣泛關注與思考。

區塊鏈安全威脅主要有哪些?為什么智能合約的安全問題如此重要,會引起這么多人關注?智能合約的安全類型有多少種?現在主流的安全監測方法有哪些?最有效的方法又是什么?大家如何能獲得安全無漏洞的智能合約代碼?針對這一系列問題,我們對安比實驗室創始人郭宇進行了采訪,為大家系統介紹區塊鏈行業安全問題及主流解決方案。

二、區塊鏈安全六大類型

從安全角度來看,區塊鏈技術可分為五層,相應安全問題則為六大類。

區塊鏈2.0版本技術架構

第一層,密碼學。密碼學是區塊鏈最底層的支撐技術,包含了哈希算法、數字簽名、隨機數等,如果這些密碼學技術存在問題或者漏洞,那么基于此的整個區塊鏈構建的信任將會坍塌。

Ripple創建新工具幫助區塊鏈公司獲取可再生能源:Ripple承諾到2030年使碳排放減為零。該公司創建了一種工具,允許其他區塊鏈公司購買清潔能源為其網絡供電。XRP分類帳基金會將是第一個使用該工具抵消XRP碳排放量的基金會。(Decrypt)[2020/9/30]

雖然目前密碼學技術已經頗為成熟,存在巨大漏洞的可能性比較小,但是仍然不排除一些項目存在問題。2017年7月15日,具有「物聯網世界第一幣」之稱IOTA收到了麻省理工學院附屬的學術研究組DCI的郵件,提醒IOTA團隊,IOTA的哈希算法Curl-P存在弱點,DCI可以對該系統進行成功的攻擊,竊取用戶資金。雖然IOTA隨后對DCI的郵件進行了質疑和反駁,到目前為止,也沒有用戶因為此漏洞而發生資金被盜的情況,但這一事件引起了大家對IOTA和其他項目在密碼學技術安全上的關注。

第二層,用戶私鑰的生成、使用與保護。用戶參與區塊鏈的憑證是一對公私鑰,每個人通過區塊鏈產生交互行為的前提就是他擁有安全的私鑰、并且能保管好自己的私鑰,因此私鑰的生成、試用與保護問題就非常重要。

今年7月,EOS就因私鑰生成工具存在安全隱患,創建的私鑰被黑客發現漏洞,并實施「彩虹」攻擊,導致賬戶數字資產被盜,造成上千萬數字資產損失。

聲音 | 美國總統候選人:區塊鏈、加密資產將是未來美國的重要組成部分:據彭博社報道,美國企業家、民主黨2020年總統候選人楊安澤表示,區塊鏈應用、加密資產將成為未來美國的重要組成部分,今年4月楊安澤曾發布了國家數字資產監管框架,作為總統競選活動的一部分。同時他表示將在現有證券法基礎上建立保護數字資產框架。此前在楊安澤的競選活動中,他也接受了比特幣、以太坊以及其他加密貨幣的捐助。[2019/5/16]

第三層,節點系統安全漏洞。這一問題歸屬于傳統安全范疇,比如區塊鏈節點不能存在緩沖區溢出等傳統的安全漏洞。另外區塊鏈節點的實現要能忠實地正確實現區塊鏈的共識協議;節點不能暴露不該暴露的API接口,導致黑客可以無障礙的獲取一些節點關鍵信息。無論是以太坊還是EOS都曾經被爆出過比較嚴重的安全漏洞。這一部分安全也是至關重要的。

第四層,底層共識協議。目前市場上主流的區塊鏈共識協議有以下幾種,POW、POS、DPOS、PBFT。底層共識協議決定了區塊鏈整個架構是否可信,能不能真正做到形成一個具有共識的區塊鏈。現在真正被證明安全的共識協議并不多,因為共識協議本身無論從理論、還是從技術實現上都不簡單。而經過長時間驗證的共識協議是比較安全的,比如像比特幣的POW。共識協議有一個不可能實現的三角關系:安全、去中心化和效率,這三者只能同時實現兩樣。如果追求效率,要么犧牲去中心化,要么犧牲安全。

動態 | 尼科西亞大學未來研究所與PumaPay區塊鏈項目結盟:據Zycrypto消息,尼科西亞大學未來研究所(IFF)宣布與PumaPay區塊鏈項目結盟,旨在創建創新的PullPayment協議。尼科西亞大學(UNIC)對新技術持開放態度,并且是首批采用區塊鏈技術的高等學府之一。據悉UNIC推出了世界上第一個數字貨幣碩士學位課程(MSc),它致力于推動DLT研究和相關領域的發展。[2018/11/17]

一個區塊鏈系統的共識協議是不是安全這個問題至關重要。

理論上,基于底層共識協議創建的所有數字貨幣都是存在51%算力攻擊風險。今年上半年,就有至少4種數字貨幣分別受到了51%算力攻擊,分別是Monacoin、BitcoinGold、Verge和Electroneum,給用戶造成數千萬美元損失。

第五層,智能合約。智能合約是一套以數字形式定義的承諾(promises),包括合約參與方可以在上面執行這些承諾的協議。任何參與方都能在應用層創建合約,也就是所謂的DAPP。這也是目前出現安全問題最多的地方。

智能合約安全隱患包含了三個方面:第一,有沒有漏洞。合約代碼中是否有常見的安全漏洞。第二,是否可信。沒有漏洞的智能合約,未必就安全,合約要保證公平可信。第三,符合一定規范和流程。由于合約的創建要求以數字形式來進行定義承諾,所以如果合約的創建過程不夠規范,就容易留下巨大的隱患。

美國第四大鐵路公司加入全球區塊鏈貨運聯盟:據Coindesk消息,美國運輸巨頭諾福克南方公司(NSC)昨日透露,將加入全球區塊鏈貨運聯盟(BiTA)。BiTA貿易協會于2017年成立,旨在推廣和發展運輸和物流行業的區塊鏈應用,并為采用該技術建立行業標準。目前有超過250名參與者。[2018/5/26]

目前市場上很多智能合約均存在安全漏洞問題,比如,6月3日,安比實驗室發現Ethereum上出現81個合約帶有相同錯誤,ERC20Token合約中的transferFrom函數存在巨大隱患,一旦部署后出現問題,將造成不可挽回的損失;6月6日,安比實驗室發現ERC20代幣合約FXE由于業務邏輯實現漏洞,任何人都可以隨意轉出他人賬戶中的Token,Token隨時面臨徹底歸零風險。

作為區塊鏈行業從業者、智能合約使用者或是加密貨幣擁有者,應該學習相應的密碼學和智能合約編程知識,切不可隨意復制使用涉及資金安全的合約和公私鑰等的代碼。如果惡意攻擊者,將帶有嚴重漏洞的代碼公開在網絡上進行傳播,誘導技術開發能力欠缺的組織使用,將會給使用者造成毀滅性打擊和不可挽回的損失。

第六層,激勵機制設計。智能合約要完成協作,通常是要設計相應的經濟激勵機制。經濟激勵是區塊鏈技術里面非常有突破性的一個概念。一個真正健康有活力的區塊鏈生態,需要一個很好的激勵機制。但是經濟激勵設計得不夠安全,可能生態就無法建設起來,比如典型的類龐氏游戲,這一點大家要警惕。

吳曉波:區塊鏈到底是誰的機會?:吳曉波稱,在今天的中國,很多人都渴望在比特幣和區塊鏈熱潮中,攫取一筆“新時代的紅利”。投資機會的金融衍生化,似乎在讓每一個人都有機會分享到科技變革的紅利,但在事實上,它更多的屬于投機做局者的圈套。[2018/1/22]

三、智能合約三大問題

前面介紹的六層區塊鏈安全問題,都是依托相應的技術層級來劃分的,越底層的技術越穩定,比如密碼學從一開始選定之后,就不會輕易改動。

智能合約由于比較靈活,任何人都可以創建,所以相對容易出安全問題。

任何用戶都能創建一個有共識基礎的合約,就好像是每個老百姓都可以基于某部法律寫一份合同,這個法律是一種共識機制,這個合同也是有內在的約束條款,使用DAPP就像簽訂合同,所有行為都要按照這個合同條款執行。因此,智能合約的安全隱患,直接關系到用戶的財產損失。

到目前為止,安比實驗室發現了市場上智能合約的三大問題:

第一,以整數溢出為代表的安全漏洞。安全漏洞通常是被寫代碼的人不小心引入的,它可能引起合約某些功能部件失效,最嚴重的情況,可能導致黑客攻擊、用戶丟幣、甚至黑客憑空造出來很多的幣。比如BEC、SMT、EDU,曾經就因整數溢出安全漏洞,被黑客攻擊從而導致幣值歸零。

第二,智能合約權限控制。一般智能合約里會設置一個管理員,管理員一般擁有超級權限,這類合約的安全隱患比較大,因為一旦管理員的私鑰被盜用,很容易造成巨大損失。據安比實驗室不完全統計,排名前570名的Token合約中,有342個合約存在只有管理員能調用的功能,不少合約更存在管理員任意鑄幣、燒幣、凍結賬戶、關停轉賬等過高權限。

今年7月10日,加密貨幣交易平臺Bancor稱遭到攻擊,丟失了當時折算法幣金額為1250萬美金的以太坊、1000萬美金的Bancor代幣和100萬美金的Pundix代幣。經過我們分析發現,這次Bancor平臺被盜事件就是與BancorConverter合約有關,攻擊者通過獲取了管理員賬戶的私鑰,借用管理員身份盜走用戶的Token,給用戶造成巨大損失。

第三,規范性問題。現在很多智能合約的實現并沒有統一的規范。智能合約是以交互的方式多人協作,如果合約不規范,容易導致不同人對合約的行為產生誤解,從而出現大量的安全問題。

比如,今年陸續爆出的「假充值」事件,包括以太坊代幣、USDT等,根據一家機構進行的不完全統計顯示,市場上的單代幣合約有3619份存在「假充值」漏洞風險,其中不乏知名代幣。

正常情況下,充值過程中轉賬不成功,賬戶將無法充值,賬戶余額仍然是0。但如果合約存在「假充值」漏洞,在轉賬不成功的時候,系統并不會顯示充值失敗,交易所就會誤判結果為充值成功。如果有黑客發現這一漏洞,就會一直進行「假」充值,之后再把這筆錢提出,給交易所帶來直接損失。

四、形式化驗證的重要性

目前,市場上針對智能合約安全問題的檢驗方式主要有三種,第一是測試,第二是審計,第三是形式化驗證。測試需要程序自動跑,通過各種可能性的輸入,檢測是否存在整數溢出漏洞等問題。但這個測試通常不可能百分之百覆蓋,一定會有遺漏存在。審計就是靠專家的專業知識去審核,但再專業的專家也可能會有疏漏。前兩種傳統的方式,并不能保證合約中沒有漏洞,但形式化驗證能做到這一點。

形式化驗證可以解決三類問題,第一類是安全無漏洞:通過數學推理的方法,捕捉、覆蓋合約的所有行為,覆蓋所有可能性,從而保證合約沒有漏洞。第二類是可信:公開透明。合約的創建者不僅要說明白干了什么事,還要向大家證明代碼確實是這么干的。這個也是目前只能用形式化驗證才能做得到。第三類是規范性問題。前面提到的假充值漏洞,就是因為以太坊的ERC20規范,寫得非常模糊、不完整。那怎么樣能寫完整呢?這就要求合約的規范就不能用自然語言,或文字描述,而是應該引入形式化規范,用一種數學邏輯語言來嚴格定義。

形式化驗證在工業界、尤其是安全系統相關領域,已經有了大量應用案例,比如航空航天、高鐵、核電等行業,都有專門的團隊提供形式化驗證服務,其作用與效果早就得到了安全行業專家的認可。

目前,形式化驗證包括模型檢驗和演繹推理兩種。相對權威和安全的公司,比如Zeppelin和以太坊官網都曾經公布過有問題的智能合約代碼。如果能有一個更可信,不依賴權威的智能合約代碼庫,開放給所有人使用,將能很好地解決這個問題。

Tags:區塊鏈IOTAIOT以太坊區塊鏈的未來發展前景pptIOTA幣靠譜嗎IoTcoinehash幣持倉挖以太坊

中幣
DAI:黑暗森林:V神和Paradigm聯創都在玩的三體游戲_以太坊

撰文:0x13、0x26,律動BlockBeats1950年,物理學家恩里科·費米提出了一個令無數人百思不得其解的問題:以宇宙驚人的年齡和龐大的星體數量來看,地外生命應該廣泛存在.

1900/1/1 0:00:00
THE:The Sandbox將于2月11日與CMC聯合啟動LAND公開發售_SANDMAN

TheSandbox官方宣布即將首次公開土地發售,此次發售將聯合CoinMarketCap于2月11日UTC下午1點啟動。第一波發售將提供9塊ESTATES和1200塊優質LANDS.

1900/1/1 0:00:00
比特幣:a16z 創始人講述比特幣為什么重要_Land of Fantasy

比特幣誕生已逾十個年頭,它打開了區塊鏈的大門,也開啟數字貨幣變革時代。然而在比特幣誕生最初那幾年,行業前輩們又是如何看待它的?比特幣誕生已逾十個年頭,它打開了區塊鏈的大門,也開啟數字貨幣變革時代.

1900/1/1 0:00:00
對話頭等倉鄭斯威 : 如何構建投研與價值發現的能力?

近日,由鏈捕手主辦的捕手學堂第十九期邀請了頭等倉投研總監鄭斯威就《如何做投研實現價值發現》進行了主題分享。頭等倉是以價值投資為核心理念的區塊鏈投研機構,致力于為用戶挖掘優質項目和投資機會.

1900/1/1 0:00:00
OKS:梁信軍起訴Circle Fund、竇毅返還BTC理財本金與收益_looksrare幣最新消息

鏈捕手消息,中國裁判文書網近日公布了原告梁信軍與被告CircleFund、竇毅返還原物糾紛一審民事裁定書.

1900/1/1 0:00:00
FIL:Filecoin是騙局嗎?_Electrinity

本文于2021年1月4日首發于公眾號:吳說區塊鏈real,特約作者白夜。熱度極高的情況下,Filecoin礦機賣出數百億,總市值不到70億,投資者虧損風險不小.

1900/1/1 0:00:00
ads