以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads
首頁 > KuCoin > Info

一月、二月區塊鏈安全事件盤點_EOS

Author:

Time:1900/1/1 0:00:00

導語:在整理近兩個月發生的安全事件時,筆者不禁想起互聯網的早期,也曾走過安全事件頻發的階段。即使到現在,互聯網行業的安全事故也沒有完全杜絕。其實,任何新生的事物,都會存在安全隱患。區塊鏈在經歷18年的瘋狂之后,慢慢回歸理性,各種落地應用產品正在慢慢面世。對于新興的行業來說,經歷的安全事件是必不可少的。所以獵豹區塊鏈安全將會堅持盤點每月的安全事件,在整理的同時,也和大家,以及整個區塊鏈行業共同經歷著成長。2019年1月16日——ETH君士坦丁堡升級推遲

事件背景

根據計劃,以太坊社區原定會在7,080,000區塊高度時進行君士坦丁堡分叉,這個時間大概是在中國的2019年1月16日。但是在升級前夜,ChainSecurity發布了君士坦丁堡升級相關的潛在問題。出于謹慎考慮,以太坊基金會決定推遲此次分叉。漏洞類型:可重入漏洞事件經過及安全分析

·為了更好的在未來過度到POS模式,以太坊基金決定推出過渡的升級方案——君士坦丁堡升級。因為在以太坊社區內部沒有太多爭議,所以不會導致硬分叉,而是以軟分叉方式平穩過渡到下一階段。·君士坦丁堡升級包括減少礦工回報等一系列的改進方案,其中的EIP1283將代替原來的1087,調整SSTORE操作碼的凈Gas計量。·雖然這看上去是對開發者很友好的方案,但是ChainSecurity卻發現了其中的隱患:攻擊者可以使用updateSplit設置當前split,以第一個地址(合約地址)接收所有的資金;并且調用splitFunds函數,;從回調函數,攻擊者可以再次更新split,這次將所有資金分配到攻擊者的第二個賬戶;splitFunds的執行繼續,全部存款也轉到第二個攻擊者賬戶。·由于Gas費的下降。在升級之前,每個storage操作都需要至少5000gas。遠遠超過了使用transfer或send來調用合約時發送的2300gas費。·而在升級之后,攻擊者合約可以使用2300gas費成功操縱漏洞合約的變量。·簡單來說,攻擊者可以在以太坊升級后執行TheDAO級別的重入攻擊。·基于安全考慮,以太坊在深度討論后,于太平洋時間上午12點宣布推遲君士坦丁堡升級計劃安全小豹的看法

加密借貸平臺Nexo一月份回購約990萬NEXO:2月2日消息,加密借貸平臺Nexo發布5000萬美元回購計劃的定期更新,1月6日至2月2日回購9,905,593.74枚NEXO,支出金額為7,650,341.3美元。目前該計劃已共回購53,049,948.138枚NEXO,總支出金額為42,391,859.24美元,加權平均價格為0.7991美元。[2023/2/3 11:44:17]

現實與理性總是會有一定距離,簡單的幾行代碼就拖住了以太坊的升級步伐,在全面轉向POS之前,又會經歷哪些困境?分片,雷電網絡這些優秀的技術何時才能面世?在成為“世界計算機”之前,以太坊還有很長的路要走。

2019年1月6日——ETC被51%攻擊

事件背景

作為TheDao事件的硬分叉產物,是全球市值第二大的分叉鏈。分叉之后ETC一直使用POW算法,但全網算力一直處于比較低的水平,這導致了ETC主網在1月6日遭受了51%的雙花攻擊。損失規模:約110萬美元漏洞類型:51%攻擊事件經過及安全分析

·2019年1月6日,安全團隊警告ETC團隊,ETC存在被51%攻擊的可能性。第二天,Coinbase官方確定ETC總共發生15次攻擊,其中12次包含雙花,損失共計219,500ETC(約110萬美元。coinbase也暫時關閉了ETC的交易。·通過分析發現,此次事件的受害者主要是Biture和Gate.io兩家交易所·緊接著,安全公司通過與Gate.io,Bitrue和Binance交易所的配合,嘗試定位攻擊者。·1月14日,Gate.io方面表示,目前已經有價值10萬美元的ETC被歸還。安全小豹的看法

十一月Tether新增印鈔約合24.2億USDT:據Tokenview區塊瀏覽器數據顯示:十一月份Tether新增印鈔約24.2億USDT。其中以太坊上印鈔數量約13.2億,波場鏈上印鈔約11億,在發行方面,共計流入6家交易所,按流入量排名分別為Bitifinex-11.2億枚、Binance-1.27億枚、Nexo1300萬枚、Huobi-574.2萬枚、Poloniex-10萬枚。當前USDT總市值已超過190億美元[2020/12/3 22:58:22]

本質上來說,51%攻擊是沒有任何辦法進行提前的監測的,要想完全杜絕51%攻擊,只能想辦法提升全網算力,或者干脆修改共識算法。站在安全公司的角度看,可以通過計算購買算力需要的成本與攻擊可能獲得的代幣,再參考當前幣價,來綜合判斷某個時間點某條公鏈被51%的可能性。雖然無法完全杜絕,但是一旦發生51%攻擊,我們可以提高每一筆交易的確認區塊數量以及暫停這個幣種的充提幣,來把損失降到最小。2019年2月——EOSDAPP被大量攻擊

事件背景

19年1月,EOS公鏈上的一系列競猜類游戲遭到了新型交易阻塞攻擊事件。中招應用包括EOS.Win、FarmEOS、影骰、LuckBet、GameBet、EOSDice、STACKDICE等熱門DAPP。損失規模:約20起,500萬美元漏洞類型:阻塞攻擊等事件經過及安全分析

Facebook計劃最早在明年一月以有限形式發行加密貨幣Libra:根據參與Facebook數字貨幣Libra計劃三名消息人士透露,Libra最早在2021年1月推出,但是相關功能可能會受到限制。其中一位知情人士表示,Libra協會最初只會發行與美元掛鉤的單一錨定幣Libra,與其他法定貨幣掛鉤的Libra將在稍后推出。這三位消息人士還稱,Libra推出確切時間取決于該項目何時獲得瑞士金融市場監督管理局批準,否則Libra無法作為一項支付服務在市場運營。此前有消息稱瑞士金融市場監督管理局最早將于2021年5月評估Libra申請,但從現在來看,這一時間有可能提前到2020年1月,本文撰寫時瑞士金融市場監督管理局尚未就此事發表評論。(英國金融時報)[2020/11/27 22:19:10]

·不同于以往頻發的隨機數或交易回滾攻擊等合約層的攻擊行為,這是一種利用底層公鏈缺陷而發起的攻擊行為。深入分析后發現,這是存在于主網層的致命拒絕服務漏洞,攻擊者可發起大量垃圾延遲交易導致EOS全網超級節點無法打包其它正常交易,即通過阻斷打包正常用戶的交易進而癱瘓EOS網絡。·由于該漏洞本質上屬于底層主網問題,任何DApp游戲,只要依賴如賬號余額或時間等相關鏈上因素產生隨機數,都存在被攻擊的可能。·這也是為什么在一月份出現大量EOS的DApp被攻擊的原因。安全小豹的看法

動態 | 一月份頂級加密交易所交易量回升至總市場份額的三分之一:金色財經報道,CryptoCompare數據顯示,一月份,頂級加密貨幣交易所(AA-B級)的總交易量增加了61.2%,占該領域總交易量的29.3%,而較低級別的交易所的交易量增加了46.4%。頂級加密貨幣交易所的交易量與去年12月份相比增長明顯。[2020/2/27]

EOS漏洞事件頻出,很多都是由于開發人員不嚴謹導致的,據筆者了解,很多DApp背后只有1-2個程序員,連完整的測試人員都不存在。在這種情況下,漏洞出現的可能性就非常大,更可能被攻擊。為目前EOS的開發人員并不多,成熟的開發者就更少了。但是對于EOS這樣的公鏈來說,這是一個必須經歷的階段,相比于去年,EOS上的Dapp和用戶都呈現激增的態勢,加上安全公司的努力,未來前景還是非常光明的。2019年1月14日——Cryptopia交易所被盜

事件背景

Cryptopia是位于新西蘭的一個小型交易所,被圈內稱為C網,日均交易量大概在300萬美元左右,交易的幣種超過500種。損失規模:約1600萬美元漏洞類型:私鑰泄露

邁克菲創始人約翰·邁克菲稱 明年一月比特幣會達到14000美元:殺軟件巨頭邁克菲創始人約翰·邁克菲在Twitter稱,一位“傳奇交易員”告訴他明年一月比特幣會達到14000美元。[2017/12/6]

事件經過及安全分析

·當地時間2019年1月15日,Cryptopia交易所官方發布通知,交易所遭黑客攻擊,Cryptopia交易所將關閉交易所服務,全力配合調查并嘗試追回被盜資金。·從公開資料來看,被盜的數字貨幣主要是ETH以及以太坊區塊鏈上的各種ERC-20代幣,總計價值約1600萬美元。·根據Elementus的分析,C網對此次安全漏洞的反應非常遲緩。黑客在1月13日到17日的5天時間,陸續將76000個ETH從錢包中轉移。而交易所方面沒有任何反應,并對用戶聲明:黑客擁有私鑰,可以隨意從任何Cryptopia錢包中提取資金。·種種跡象看來,很可能的原因是C網簡單的把私鑰存儲在某個服務器上,而黑客通過黑掉該服務器,導致C網無法從服務器獲取私鑰。安全小豹的看法

可以看到,C網在管理私鑰方面的混亂和隨意,導致了悲劇的發生。這次事件再次提醒了廣大交易所與用戶,對私鑰管理要存在敬畏之心,確保100%安全的保護私鑰是區塊鏈世界最基本的法則。另外,眾所周知,C網在業內以幣種多著稱,原因之一是,在C網上架山寨幣非常簡單粗暴,只需給錢和投票兩個步驟,這就導致C網上大部分幣種交易量很低,主要成為搬磚黨的樂園。筆者認為這種上幣模式是非常糟糕的,在此建議大大小小的交易所,在上幣前,一定要有對項目進行安全審計的流程,這是最基本的,對用戶負責的體現。交易所其他安全事件:

·春節期間,加拿大最大的加密貨幣交易平臺QuadrigaCX被爆出創始人Cotten意外死亡,·2月13日,Coinbase交易所發放了價值3萬美元的漏洞懸賞,從金額上可以看出,該漏洞是系統性的關鍵漏洞。這種懸賞對行業來說非常有價值,建議每個交易所和公鏈都應該做類似的激勵以促進安全領域的進步。2019年1月——Ryuk勒索病猖獗

事件背景

美國網絡安全公司跟蹤了臭名昭著的,名為Ryuk的勒索病,該病在互聯網上傳播,通過鎖定計算機文件,向受害者索取比特幣,并且建立激勵機制鼓勵參與者傳播病。

損失規模:約370萬美元漏洞類型:勒索病事件經過及安全分析

·在過去的5個月內,GRIMSPIDER的黑客組織通過勒索病收到超過705個,相當于370萬美元的BTC。·勒索病的特點是,一旦電腦中了該病,所有的硬盤文件會被加密鎖定,直到受害者聯系黑客并支付比特幣。·在新年期間,美國的一些主流媒體中招,導致服務暫停,受害者包括“洛杉磯時報”、“圣迪戈聯合論壇報”、“華爾街日報”和“紐約時報”·此次攻擊與去年發生的勒索攻擊不同,黑客攻擊對象主要瞄準了企業計算機,并且會根據目標組織的價值和規模計算贖金的金額·根據CrowdStrike的報告,此次勒索攻擊最低贖金是1.7BTC,最高的是99BTC,目前已經有37個BTC地址收到了52筆交易,GRIMSPIDER黑客集團已經非法獲利705.80BTC,價值約為370萬美元。

總結

就目前來看,行業的安全事件還一直居高不下,這其中的原因很多,比如區塊鏈行業的技術標準和規范不統一,每家都有自己的基礎架構;開發者和用戶的安全意識還不夠,無論企業團隊還是開發團隊,都需要加強這方面的培養;最后,行業中安全機構與專業安全人才還太少,面對層出不窮的黑客攻擊,亟需更多安全人才的加入。其實,基于區塊鏈的技術特點,任何開發者都需要有很強的安全意識,第一條代碼開始,就要有意識到基礎可能會遇到的安全問題,讓項目減少為認知所付出的成本。

Tags:EOS以太坊LIBRALIBNEOS如何挖以太坊幣LIBRAFliberty幣1967

KuCoin
帶指紋的「銳格錢包」,能兼顧體驗和安全嗎?_NFT

作者|吳遂心編輯|盧曉明提到數字貨幣錢包,大家應該都不陌生。數字貨幣錢包是用于存儲數字資產的工具,目前市面上錢包種類豐富,按是否時刻在線分為冷錢包和熱錢包兩種,就安全性而言,非時刻在線的硬件冷錢.

1900/1/1 0:00:00
比特幣核心開發人員 Jimmy Song:挖礦攻擊是被人為夸大的_比特幣

譯者|Moni編輯|盧曉明每次當我說比特幣是唯一的去中心化加密貨幣時,總會聽到一堆反對聲音,總結下來無非兩種意見:1、山寨幣也是去中心化的;2、看看比特幣核心和比特幣礦工.

1900/1/1 0:00:00
中國平安金融旗下壹賬通,計劃香港IPO籌資10億美元_區塊鏈

據彭博社報道,知情人士透露,中國市值最大的保險公司平安保險(集團)股份有限公司(簡稱“平安保險”),正準備將旗下一個金融管理門戶網站金融壹賬通進行首次公開募股.

1900/1/1 0:00:00
以太坊2.0協議核心Beacon鏈詳解_以太坊

編者按:本文來自巴比特,作者:BenEdgington,編譯:灑脫喜,星球日報經授權發布。譯者前言:關于以太坊的升級路線,密碼貨幣社區的很多參與者所掌握的信息可能已經是過時了,例如以太坊的Cas.

1900/1/1 0:00:00
以太坊礦工大遷徙前夜,一些人仍在買電造場_以太坊

礦工們在靜等這一天的來臨。提前是不能怎么樣應對的。“我們沒有提前做短線調整,走一步算一步。”以太坊礦工王澤霖向Odaily星球日報表示.

1900/1/1 0:00:00
區塊鏈世界的高智商犯罪:如何偷走價值6000萬人民幣的EOS_EOS

編者按:本文來自區塊律動BlockBeats,作者0x2,Odaily星球日報經授權轉載。黑客預先投入百萬人民幣,將自己控制的節點成功選舉為EOS中21個出塊節點,再利用節點的便利,將價值600.

1900/1/1 0:00:00
ads