復盤數十萬 EOS 被盜過程，背后是其架構設計缺陷？_APP

北京時間2018年12月19日凌晨，EOS網絡中，包括BetDice在內的數個游戲DApp遭受黑客攻擊，損失數十萬枚EOS通證。

TokenInsight認為本次事件是由于部分游戲DApp為增強游戲體驗，在自建節點中運行DApp，導致鏈上數據同步時出現錯誤。

因為部分代碼和數據未被公開，攻擊的重現難度較高。據推演，黑客可能的攻擊手段如下：

EOS被盜流程推演圖

來源：TokenInsight

主力數據復盤：主力此輪拉盤始于9500美元:AICoin PRO版K線主力數據指標顯示：

昨晚21:00-21:30間，火幣BTC現貨共有20筆，共計1999.87BTC主動買入大單成交，買入均價9485.79美元。

昨晚22:00-22:30間，OKEx BTC現貨共計有9筆，掛單量4563.12BTC的大額委托買單出現，最終成交2232.75BTC，買入均價9507.3美元。

今晨01:15-05:00，Bitstamp BTC現貨共計有2筆，掛買量為850.58BTC的大額委托買單出現，最終成交798BTC，買入均價9736.05美元。

可見，此輪主力拉升始于火幣、OKEx等有大量國內用戶平臺，價格在9500美元附近，此位置正是市場普遍認為的壓力位。Bitstamp凌晨跟上。?[2020/5/8]

1、黑客向DApp發送參與游戲的請求；

復盤：兩條趨勢線突破均有主力買入成交確認:AICoin PRO版K線主力成交數據顯示：23日20：35~23日21：35，比特幣價格運行至4月19~23日四小時周期的下降趨勢線（7305-7189）以及4月7日~23日四小時周期的下降趨勢線（7475-7189）附近，并分別于20：35和21：35完成突破。

20：35第一條趨勢線突破，突破前后，有4筆，共計950萬美元主力買入成交；21：35第二條趨勢線突破，突破前后，有7筆，共計1003萬美元的主力買入成交。主力大單的迅速跟進確認了兩條下降趨勢線的突破。

隨后，不斷有大買單跟進說明了趨勢還在持續，直到22：25分出現一筆500萬美元的大賣單，趨勢告一段落。[2020/4/24]

2、黑客直接向BP節點發送取消游戲的請求，或使賬戶余額不足而導致轉賬失敗；

主力大單跟蹤復盤：開多又平多 主力已完成短線操作:AICoin PRO版K線主力大單跟蹤顯示：3月9日全天，OKEx及火幣的季度合約總計有6筆千萬美元級別以上的買單成交，總成交金額超過7600萬美元。這一過程中，AI-PD-持倉差值為大正值，為主力開多。3月10日早上九點后，OKEx及火幣的季度合約總計有10筆千萬美元級別以上的賣單成交，這一過程中，AI-PD-持倉差值為大負值，為主力平多。數據表明，過去36小時，主力開多又平多，已完成短線操作。[2020/3/11]

3、DApp將黑客的游戲請求發送至BP節點，并在自建節點上運行黑客的游戲結果，若運算出玩家勝利的結果，則向BP節點發送給予玩家獎勵的請求；

4、BP節點先后收到「黑客取消游戲」請求、「DApp發送游戲」請求、「DApp給予游戲獎勵」請求。因為時間順序和轉賬沖突的原因，「黑客取消游戲」請求被執行，而「DApp發送游戲」請求執行失敗，「DApp給予游戲獎勵」請求被執行。

5、黑客收到DApp的轉賬，一次攻擊完成。

首先，應對該種攻擊手段，可將DApp讀取的狀態數據改為read-only模式，read-only模式下數據庫包含傳入區塊的更改，但不影響speculative交易處理。

此外，關于此次EOS的安全事件，AnChainCEOVictor指出，AnChain在Ethereum以及EOS有關安全的問題上有著較豐富的經驗與技術積累，并且也提供有關代碼的安全檢測服務，這次的安全事件是完全可以避免的。比如，DApp可以使用ref_block功能，在給玩家發放獎勵前，判斷用戶是否真的轉賬成功。同時，Victor還指出，這個安全問題背后還暴露出了在EOS中更加嚴重的問題，相較于其他部分公有鏈，EOS區塊鏈并不記錄失敗的交易，瀏覽器也無法查詢，這是EOS在架構設計方面的缺陷。

來源鏈接：mp.weixin.qq.com

本文來源于非小號媒體平臺：

TokenInsight

現已在非小號資訊平臺發布1篇作品，

非小號開放平臺歡迎幣圈作者入駐

入駐指南：

/apply_guide/

本文網址：

/news/3627096.html

EOS柚子

免責聲明：

1.資訊內容不構成投資建議，投資者應獨立決策并自行承擔風險

2.本文版權歸屬原作所有，僅代表作者本人觀點，不代表非小號的觀點或立場

上一篇：

慢霧：破解造成BetDice項目恐慌的交易回滾攻擊手法

下一篇：

知道創宇攜手中信云合作案例獲評「2018企業服務案例TOP50」

Tags：APPDAPDAPPEOSDapper價格DAPPT價格DAPP價格THEOS

Gate.io