EOS:EOS中的“鈔級騙局”：偽EOS及其變種攻擊_BET

針對區塊鏈安全問題，Beosin團隊每一周都將出智能合約安全漏洞解析連載，希望能幫助程序員寫出更加安全牢固的合約，防患于未然。引子：寓目暫為實，過者即為虛。——《儼上人粹隱堂》宋·梅堯臣前情提要

上回書，EOS游戲屢遭手，隨機數漏洞屢禁不絕。當下正值各種EOSDApp火爆的時期，許多項目方紛紛開發自己的EOS游戲吸引玩家。由于EOS官方并沒有提供隨機數接口，EOS游戲在隨機數生成問題上面臨和以太坊游戲一樣的窘境，開發者無法確保隨機數算法中的因子是不受其他因素干擾的完全隨機因子，因此EOS游戲隨機數攻擊一而再，再而三的發生，項目方也采取修改相關算法的措施應對類似風險，如何做到正確修改，就要看開發者對隨機數因子的生成機制是否了解透徹，必要時還是需要借助第三方審計，做到隨機數問題上的萬無一失。本期話題

火幣將于11月11日16點上線EOS、XRP、TRX、LTC和YFII品種USDT本位永續合約:火幣官方剛剛發布公告稱，火幣合約平臺將于11月11日16點上線EOS、XRP、TRX、LTC和YFII品種USDT本位永續合約。[2020/11/10 12:10:17]

DApp假幣魚目混珠，轉賬函數檢測疏漏馬虎說起今年比較賣座的國產電影，周潤發的《無雙》肯定占有一席之地，電影中美元假鈔的制造技術讓人驚嘆，也演繹了一段殘酷的“鈔級騙局”。鈔票不夠用，就想到自己制造印刷，以假亂真，但是像影片中那種精湛的技藝確實還是很少的。在利益面前，任何一種貨幣都有被偽造的風險。對于EOS也不例外，本期我們就來說說由偽EOS攻擊引出的相關漏洞及其變體。基礎知識鋪墊

Block.one副總裁發布15條EOS節點協議:???5月14日，Block.one副總裁Thomas Cox在GitHub發布了EOS節點協議，共計15條，指出EOS節點（Block Producer）需要遵循的原則。每個節點至少提供四個滿足最低配置要求、運行完整節點的公共端點。

協議包括：

1.在指定的循環時間內，如實、準確地按照已授權塊數出塊。

2.始終堅持在相同高度或相同區塊間隔內只生成或簽署一個區塊。

3.絕不刪改諸如投票、制裁等與治理相關的事務。

4.只添加交易池中的良性交易到區塊中。

5.做好誠信表率，盡可能多的納入“良性”交易，公平公正避免不必要的偏見。

6.剔除區塊中的“惡性”交易并公示剔除原因。

7.在交易中不偏不倚，以快進快出方式或其他事先公告的機制來排序，包括未修改軟件提供的默認排序。

8.絕不使用自身的優勢信息強行插隊交易，同時也抵制他人插隊。

9.服從仲裁員的全部有效指令：

a.由仲裁員簽署

b.該案件由此種裁員負責

c.指令只影響該案件涉及的賬戶

d.仲裁員在仲裁庭有良好的聲譽

e.接受原始交易（即引起案件的交易）上訴的仲裁庭亦是解決爭議的審判地。

10.只有在收到仲裁員的有效指令授權后才凍結賬戶。

11.面對緊急情況積極應對采取有效行動，并保持自我反省反思。

12.提供不少于四個運行完整節點的公共端點（最低配置）。

13.在沒有最低配置的時期不收取投票獎金，并在具有最低配置后補齊所欠投票獎金。

14.公開自身組織所有權，公開比例不低于全部所有權的10%。

15.與其他節點分享自身所有權，分享比例不高于全部所有權的10%。????[2018/5/15]

EOS智能合約的架構EOS智能合約是由一系列action組成的，每個action代表一條合約條款，以實現條款中的具體規則。執行一個EOS智能合約分為制作、部署、調用三個部分。其中，在部署智能合約這一步，每個EOS智能合約必須實現一個apply()函數，作用是將action請求映射到具體的處理函數。具體的實現細節封裝在EOSIO_ABI宏里面。這樣的設計讓開發者只需要專注業務邏輯的開發，而不必關注底層技術，起到簡化開發的作用。apply函數示例：偽EOS轉賬攻擊歷史事件：大名鼎鼎的EOSBet在9月12日損失約42,000EOS，開始了黑客使用偽EOStoken攻擊的熱潮，接下來就是eoswindice和去中心化交易所newdex，都淪落為黑客的“魚肉”。攻擊分析：在EOS鏈上通用代幣為EOStoken，EOStoken是由EOSIO部署的eosio

openledger網站EOS和ETH暫時無法訪問:openledger今日發布公告稱，由于網站維修，EOS和ETH暫時無法訪問。[2018/4/20]

代碼安全非黑即白

受到攻擊的游戲官方經過一系列的安全事件、代碼修復才最終解決了一個看似很匪夷所思的漏洞。可以看出，區塊鏈安全是一個異常嚴謹、值得考究的技術，近兩年的磕磕碰碰又讓它成為了一個非常沉重的話題。《無雙》中有句臺詞，“只看到黑跟白的人，永遠都是失敗者。”這句話在區塊鏈領域并不適用，不信你看電影主角的結局。區塊鏈項目需要做到代碼層面上的邏輯嚴密，設計精巧。區塊鏈安全規范和相關知識也需要理解透徹，融會貫通，在細節問題上的把握也異常重要，尤其是對于起步不久的EOS、Fabric等新平臺，所以可以說區塊鏈技術在代碼安全方面非黑即白，做到安全開發、安全審計、安全部署，才能讓攻擊者、投機者無從下手。引用：:假EOS攻擊再升級：EOSCast遭黑客“假EOS轉賬變種”攻擊，損失超6萬EOS；:BET被黑客攻擊始末，實錘還原作案現場和攻擊手段；:震驚！EOSBet又被攻擊了。損失高達500萬。攻擊手法竟是這樣？；:HowEOSBETattackedbyaabbccddeefg；:EOSBetTransferHackStatement。

Tags：EOS區塊鏈BETSBEEOSDT區塊鏈的未來發展前景視頻WALL STREET BETSBEAR價格

ICP