BTC/HKD-0.03%
ETH/HKD+1.61%
LTC/HKD+1.02%
DOT/HKD-0.07%
ADA/HKD-0.35%
SOL/HKD+0.66%
XRP/HKD+2.04%
DOGE/US-0.9%前言
加密錢包ZenGo發布報告稱其在Ledger、BRD和Edge等主流加密貨幣錢包中發現了一個漏洞。該漏洞可能會使未確認的交易計入用戶的總余額中，而此時，攻擊者可在交易確認之前撤銷該筆交易。攻擊者利用了比特幣協議中的一項費用替代「Replace-by-Fee」功能。該功能可通過支付更高的手續費來替換此前的一筆交易。攻擊者可以連續多次使用該功能進行BigSpender攻擊。下面，慢霧安全團隊將基于此次事件分析比特幣協議RBF特性對交易所和錢包所產生的影響。
什么是RBF
RBF，全稱Replace-by-fee，是比特幣內存池中的一種協議，允許使用其他交易將未確認交易進行替換的方式，RBF的方案主要有以下幾種：
動態 | 交易所比特幣充提現活動頻繁 挖礦難度將于24小時內上調:據Tokenview鏈上數據監測，近24小時比特幣鏈上轉賬總額為72.4萬BTC，鏈上轉賬筆數為30.08萬筆，其中從交易所提現的金額為4993 BTC，較前日上升 96.11%；充值到交易所的金額為10331 BTC，較前日上升 63.23%，而活躍和新增地址數較前日則分別上漲12.89%和10.97%。市場做多情緒有所上漲，短線或需防范下行風險。在挖礦數據方面，比特幣近七日算力均值為105.24 EH/s，近24小時算力均值為96.18 EH/s，預計全網難度將于20小時后上調8.6%至15 T左右。注：以上內容僅供參考，不構成投資建議。[2020/1/14]
1、FullRBF：使用更高的手續費替換前一筆交易
聲音 | 余弦：比特幣、以太坊都在逐步往隱私方案上靠:慢霧科技聯合創始人余弦發微博稱，匿名幣是種小妖幣，門羅、Zcash、Grin、Beam，都值得好好了解下，一個匿名幣之王，一個零知識之王，兩個MimbleWimble大小王。比特幣、以太坊都在逐步往隱私方案上靠。[2019/6/18]
2、First-seen-safeRBF：初見替換，即替換交易本身的輸出金額必須大于等于被替換交易
3、Opt-inRBF：選擇性替換交易，通過追加手續費的形式將舊交易替換，節點可選擇開啟或關閉此功能
4、DelayedRBF：當舊交易首次被網絡中節點接收，如果在給定數量的區塊數之后，舊交易仍然未被打包，則允許新交易無條件地替換舊交易
動態 | 德國大學生聲稱破解了中心化比特幣混合服務:據bitcoinnews報道，德國波鴻魯爾大學的學生Felix Maduakor聲稱已經成功破解了大多數中心化比特幣混合服務背后的算法。使用他的方法，可以回溯服務提供商所有交易的歷史記錄。Maduakor稱，這證明了與去中心化混合服務或以隱私為中心的加密貨幣相比，中心化混合服務所使用的算法在安全性方面效率低下。[2019/3/22]
目前BitcoinCore采用的是Opt-inRBF的方案，即通過聲明一筆交易為可替換的形式，后續可使用其他交易替換這筆交易。關于Opt-inRBF的詳細說明可參考BitcoinCore的說明
https://bitcoincore.org/en/faq/optin_rbf/
如何利用RBF進行攻擊
RBF主要針對的是0確認交易，即對內存池中的未確認交易進行替換，當交易所或錢包在處理0確認的交易時，沒有正確處理交易相關的狀態時，就會導致雙花和假充值的問題，具體攻擊手法如下：
1、攻擊者發送一筆RBF交易，輸出地址指向交易所或錢包，并支付低額手續費，防止交易過快被打包；
2、在交易所檢索到這筆0確認的交易后，攻擊者立刻發送一筆替換交易，并將輸出地址改為攻擊者可控的其他地址，替換先前的發送給交易所或錢包的交易；
3、由于交易所或錢包在對0確認交易的處理存在問題，沒有校驗交易是否為RBF交易和交易的確認狀態，直接在未確認的情況下入賬RBF交易，導致交易所或錢包被假充值、雙花、欺詐攻擊及對錢包進行DoS攻擊；
攻擊流程圖如下：
目前，慢霧安全團隊對市面上的幾款去中心化的錢包進行測試，已在部分錢包中發現此類問題，并將問題同步給相應的項目方以及協助修復。
防御方案
1、交易所或錢包應禁止采用0確認的方式對比特幣充值進行入賬；
2、如需要對0確認交易進行入賬，必須檢測該交易不能為RBF交易，具體為交易Input中的nSequence字段值必須為0xffffff，任意未確認交易中包含非0xffffff值的nSequence應拒絕入賬；
3、檢查交易狀態，如檢查比特幣交易是否被打包，或已達到相應的確認數；
4、錢包應展示對應的交易確認狀態，防止欺詐攻擊；
5、慢霧安全團隊已支持該攻擊的檢測，如錢包或交易所不確定自己的入賬方式是否存在問題，可聯系慢霧安全團隊進行檢測。
By:?yudan@慢霧安全團隊
俄羅斯于今年1月通過了加密貨幣法案,但該法案并未直接回答一些問題,包括地方官員應如何處理他們持有的加密貨幣。至少還有另外兩項法律舉措要求俄羅斯政府官員在2021年披露或完全放棄其持有的加密貨幣.
1900/1/1 0:00:00去中心化衍生品交易所dYdX周二宣布,其在B輪融資中籌集了1000萬美元的資金。 根據dYdX發布的消息,此輪融資由ThreeArrowsCapital和DeFianceCapital領投,Wi.
1900/1/1 0:00:00觀點|比特幣：讓儲蓄成為儲蓄 不愿儲蓄的后果 強迫所有人活在一個貨幣價值會不斷稀釋的世界里,創造了一個每況愈下、不斷強化的反饋循環；當儲蓄貨幣無論如何也成不了贏家之后.
1900/1/1 0:00:001.21午間行情：空頭攻勢未結束下方能否承接住 金色盤面 剛剛 25 文章系金色財經專欄作者牛七的區塊鏈分析記供稿,發表言論僅代表其個人觀點,僅供學習交流！金色盤面不會主動提供任何交易指導.
1900/1/1 0:00:00據OKEx的數據顯示,當前BTC/USDT現貨報價為30516美元,當日跌幅為2.7%。昨日行情一路頭也不回的下行,價格最低時已經回到了30000美元附近,行情單日大跌超過10%,而且這次和1月.
1900/1/1 0:00:001月22日,有媒體表示,灰度即將推出LINK、BAT等6種新信托產品。經查詢特拉華州政府官網,出現了疑似與灰度有關的信托實體,分別為「GRAYSCALEBASICATTENTIONTOKENTR.
1900/1/1 0:00:00
比特幣價格
