金色薦讀 | 區塊鏈的安全 誰來保障？_區塊鏈

近幾年，區塊鏈技術的發展非常迅猛，安全形勢也越來越嚴峻，僅安全事件導致的直接經濟損失就高達幾十億美元，給行業帶來了巨大的經濟損失和慘痛的教訓。由于區塊鏈技術是一個分布式的共享賬本和數據庫，具有去中心化、不可篡改、全程留痕、可以追溯、共同維護、公開透明等特點，為信任奠定了基礎。但區塊鏈技術存在的安全風險和技術特點也給廣泛應用及安全監管帶來了諸多挑戰，隨著區塊鏈商業落地，安全需求也變得十分緊迫。可以說，安全是區塊鏈的“立身之本”， 是區塊鏈落地的第一要素！

中國政府將區塊鏈視為構建未來智能城市的下一代關鍵IT 基礎設施，將5G 鏈接的加密安全數據庫連接到可擴展的云和數據管理基礎設施，以便大數據/AI 分析能夠高效地在上面運行

根據中國公司信息門戶網站，在中國運營的區塊鏈業務超過37000家. 僅在過去一年中，就有超過三分之一的實體注冊

世界知識產權組織（WIPO）數據顯示，2019年10月，中國區塊鏈相關專利申請達到1.3萬件，占全球專利申請總量的53%以上

中國央行已就數字貨幣DC/EP申請了84項專利

中國人民銀行DCEP在4個主要城市進行試點，在連鎖店星巴克、賽百味和麥當勞等19家當地企業進行試點

中國人民銀行《金融分布式賬本技術安全規范》

中國人民銀行于2020年2月發布了《金融分布式賬本技術安全規范》（JR/T 0184-2020），這份長達35頁的規范文件闡述了安全要求的各個方面，規定了金融分布式賬本技術的安全體系，包括：基礎硬件、基礎軟件、密碼算法、節點通信、賬本數據、共識協議、智能合約、身份管理、隱私保護、監管支撐、運維要求和治理機制等方面。

大中華區云安全聯盟（CSA GCR）區塊鏈安全工作組

國際著名非贏利組織云安全聯盟大中華區CSA GCR（www.c-csa.cn）成立了專門的區塊鏈/分布式賬本技術工作組，專注于區塊鏈安全（利用最新的安全技術，保障區塊鏈的安全和隱私保護）和區塊鏈技術在網絡信息安全的應用（使用區塊鏈和分布式賬本技術提高網絡信息的安全性），工作組整合國內外的先進經驗及實踐，建立和發展區塊鏈安全指南、最佳實踐以及測試標準等，并發布相應的白皮書、評測規范和檢查清單等，希望幫助廣大的區塊鏈從業者和關注區塊鏈安全的人們，以及改進區塊鏈和網絡信息的安全性。

金色晚報 | 9月12日晚間重要動態一覽:12:00-21:00關鍵詞：YFII、Tether、Filecoin、京東數科

1.YFII機槍池上線USDC無損挖礦。

2.歐盟委員會副主席：加密資產提供了很多機會。

3.Tether已幫助用戶恢復誤向Swerve合約轉入的100萬USDT。

4.比特幣Schnorr技術升級改進提案BIP340已正式部署。

5.Filecoin大礦工測試競賽即將解鎖150萬FIL終極獎勵。

6.yearn.finance創始人：鏈上治理將在接下來2周內部署

7.Filecoin宣布新增第二輪太空競賽 時間為9月14日至10月5日。

8.SBF等Sushiswap三名多簽見證人發起關于“聘請0xMaki”的新補償方案。

9.京東數科招股書：已實現市場首單基于區塊鏈技術的倉單質押融資。[2020/9/12]

區塊鏈安全：CSA GCR目前有9個區塊鏈安全工作組（https://www.c-csa.cn/），包括智能合約安全、錢包安全、共識算法安全、交易所安全、dApp安全、用戶自治數字身份、網路通訊層安全、數據層的安全、合規KYC/AML 等，未來還會根據需要增加其它相關工作組（如Token經濟激勵安全，治理DAO安全等）。每個工作組都由一位知名的專家領導，共有100多名網絡信息安全專家和區塊鏈安全專家在各個小組工作。

區塊鏈技術在網絡信息安全領域的應用：此外，還有可以將區塊鏈和分布式賬本技術應用于傳統網絡信息安全領域，以改進和完善傳統網絡信息安全（如抗DDOS、身份管理、數據安全和隱私保護、防范盜版及權限管控等），也由其它工作組（如IAM工作組、數據/大數據安全工作組、零信任/SDP工作組、IOT工作組、云/邊緣計算工作組、智慧城市安全工作組、AI安全工作組等），與區塊鏈安全工作組一起協作進行。

OWAS的中國區列出區塊鏈安全十大問題

OWASP中國收集、整理和分析了2011年至2019年間160多個典型區塊鏈安全事件，給出了區塊鏈安全TOP10：

金色財經行情播報 | BTC小幅反彈回落，整體震蕩:據火幣行情顯示，昨日晚間BTC最低至10833USDT后開始反彈，今日上午最高觸及11173.59USDT開始回落，局部價格在11000USDT附近徘徊。日線圖已連續整理三日，乖離過大得到調整；4小時圖在10900-11200USDT區間構成區間整理；1小時圖單根K線波動幅度增大，多空博弈激烈。截至10:00，火幣平臺的主流幣的具體表現如下。[2020/7/31]

高級可持續威脅

失控的幣值通脹

失效的權限控制

不安全的共識協議

考慮不充分的程序邏輯

不嚴謹的業務策略

校驗不嚴格的交易邏輯

脆弱的隨機數機制

存在缺陷的激勵機制

日志記錄和監控不足

http://www.owasp.org.cn/owasp-project/533a575794fe5b895168top10

國內部分區塊鏈安全公司

目前一些中國的區塊鏈安全公司，在過去的幾年里，也發表了許多安全事件報告和分析：

https://www.knownsec.com/

https://www.slowmist.com/and https://slowmist.io/

https://secbit.io/

https://peckshield.cn/

https://beosin.com/#/

https://noneage.com/

區塊鏈安全技術書籍

2018年機械工業出版社出版的<<區塊鏈安全技術指南>>一書，對區塊鏈技術潛在風險的進行詳盡細致的分析：不僅包括區塊鏈技術本身帶來的風險（比如加密技術、身份管理技術、共識技術，以及“智能合約”技術可能涉及的風險），還包括區塊鏈應用方面的風險（例如激勵機制、數據安全和網絡安全等方面可能面臨的風險）。有對區塊鏈技術各種安全機制的深度解剖，還有區塊鏈應用遭受攻擊的案例分析。理論與實際結合，對潛在風險的預期和評估置于現實背景之下。

金色沙龍丨初夏虎：比特幣可能會繼續走低一段時間:在本期金色沙龍上，元界基金會主席初夏虎發言指出：最近全球金融形勢動蕩，全球的資產價格都在下跌，包括比特幣。傳統金融圈的人并不把比特幣作為避險資產，他們把比特幣看做一個普通的商品或者是商品期貨，因此比特幣也遭到無情的拋售。本次金融的動蕩還會持續一段時間。四月份以后，很多經濟報表指數都會出來，而且經濟指標都會很差。所以，比特幣可能會繼續走低一段時間。

全球金融形勢動蕩對的公鏈影響也很大，主要是無法得到融資，或者說，在這個時間點，有很多便宜的優質資產。[2020/3/18]

第1章詳解區塊鏈的安全屬性CIA，主要從保密性、數據完整性、可用性、物理安全性4個方面對區塊鏈的安全屬性進行詳解。

第2章特意挑選了一些主流數字貨幣（包括比特幣、以太幣和Zcash），對其安全屬性進行分析。

第3章為應用與智能合約層的安全控制。主要從Web或者移動客戶端應用程序、智能合約，以及身份與訪問控制3個方面對安全問題以及區塊鏈的身份管理與訪問控制進行了分析。

第4章為激勵層安全機制設計。從激勵的產生和分配以及激勵層安全兩方面進行了分析，并從激勵模式的安全隱患、安全事件、法律風險以及安全措施等方面，對激勵層安全進行了分析，以及如何設計才能有效避免區塊鏈激勵層安全事件的發生。

第5章為網絡層安全與控制。網絡層的安全與控制直接影響區塊鏈的價值，從P2P加密、客戶端與節點通信加密、防御DDoS等攻擊3個方面進行了分析，描述了網絡層安全與控制等的相關安全內容。

第6章為數據層與共識安全。數據層是區塊鏈設計的基礎部分，是影響區塊鏈能否正常運行的關鍵。對區塊鏈數據加密技術、數據傳輸、區塊鏈交易簽名、共識攻擊、區塊鏈安全性考慮5個方面進行分析，闡述了數據層安全的知識以及保障區塊鏈的正常運行的價值。

第7章為私鑰的安全。從私鑰的重要性、使用方法、存在的問題等多個方面對私鑰的安全進行了全面的分析，給出任何使用私鑰才能有效避免安全問題的出現以及私鑰的更新、找回與吊銷等方法和措施，提高區塊鏈的安全性。

分析 | 金色盤面：BTC期貨合約持倉變化:金色盤面綜合分析： 據OKEx數據顯示，目前做多賬戶61%，做空賬戶37%，多頭持倉比例20.2%，空頭持倉比例19.62%，從數據看，多空平均倉位均有所下降。截至發稿，季度BTC0928合約價格為7219美元，現貨價格為7224美元，貼水5美元，貼水值依然較低，市場做多熱情高漲，但也要做好風控。[2018/9/2]

區塊鏈的安全包括下面幾個方面：

智能合約安全

智能合約承載有價值的數字資產是黑客主要攻擊目標。黑客通過“重入攻擊”、“整數溢出”、“偽隨機數漏洞”等方式盜取數字資產。新的攻擊方法也層出不窮。對于智能合約的案例進行分析，制定測試標準，探索形式化證明在智能合約安全的應用，和智能合約安全的最佳實踐進行研究非常重要。

錢包安全

數字錢包存儲數字資產的私鑰，包括云錢包、在線的熱錢包、離線的冷錢包等等Form Factor。安全隱患主要存在于用戶使用上和錢包的安全技術設計上。數字錢包需要分析案例、制定測試標準和開發與應用最佳實踐，提高錢包的安全性。

共識算法安全

共識算法是區塊鏈底層技術的關鍵。共識算法的安全漏洞包括遠程攻擊、無利害關系攻擊、51%攻擊、自私挖掘、Eclipse攻擊等，主要研究算法的(security)和活躍性（liveness)，包括對常用的共識算法POW、POS、DPOS、BFT、POC、POA算法等的安全性研究；希望建立制定測試標準和算法開發最佳實踐，提高共識算法的安全性。

交易所安全

交易所是數字資產價格發現和價值交換的主要工具。主要有中心化和去中心化交易所。交易所安全漏洞頻發，研究交易所安全，保護用戶數字資產安全是區塊鏈發展的必要條件之一。需要分析案例，制定測試標準和開發與應用最佳實踐，Check list 等等。

dApp安全

分析主流公共鏈上dAPP開發（以太坊、EOS、Tron等）的安全案例，提出最佳實踐、安全指南以及測試標準等，并發布相應的白皮書、評測規范和檢查清單等，希望幫助廣大的dApp從業者，提高dApp的安全性。在目前，DeFi的應用非常火，但是安全問題經常發生。主要是項目方對于安全重視不夠。

金色財經現場報道 中國人民大學法學院副院長楊東：區塊鏈交易系統是互聯網場外交易系統:金色財經現場報道，在2018全球首屆萬國區塊鏈技術博覽會上，中國人民大學法學院副院長楊東發表《區塊鏈與眾籌金融的發展》主題演講，他指出：區塊鏈交易系統是一種互聯網化的場外交易系統，是一個發布投資者證券買賣委托、連接各個參與者及其他市場的基于互聯網區塊鏈的互聯互通系統。參與者在區塊鏈系統上開戶即可獲得區塊鏈私鑰；通過私鑰和對應的公鑰即可參加在區塊鏈上開展股權融資份額轉讓交易；獲得份額的即時報價、接受咨詢機構的信息服務、下達委托指令、清算、結算、交割等各個環節完全在區塊鏈系統上運行。[2018/4/21]

用戶自治數字身份

去中心化數字身份（DID：Decentralized ID）或者自治數字身份（SSI：Self Sovereign Identity)是區塊鏈落地應用的基礎，目前對于這方面的安全研究才剛剛開始，但具有十分重要的意義。需要研究歐盟的SSI標準、北美為主的DID標準以及元界的Avatar數字身份和EID數字身份鏈，探索安全方面的最佳實踐、安全指南以及測試標準等，并發布相應的白皮書、評測規范和檢查清單等，希望幫助廣大的DID/SSI開發者和使用者，提高其安全性。

網絡通訊層安全

區塊鏈網絡的安全運行是區塊鏈系統可靠運行的關鍵。黑客利用“日蝕攻擊”、“巫婆攻擊”、“交易溯源”等方法破壞數據完整性和系統可用性，對交易機密性進行攻擊給區塊鏈技術的落地實踐帶來了巨大的隱患。此外，基于區塊鏈可以構建一個新的安全通信系統。需要分析案例，制定測試標準，探索區塊鏈交易溯源、隱私保護、數據完整性等技術，開展基于區塊鏈網絡層的數據隱蔽通信等應用，研究5G技術對區塊鏈網絡的影響。

數據層的安全區塊鏈數據安全問題：

數據隱私保護（數據變形、數據加密、限制數據發布等）

數據可用性保護（網絡可追溯性、連通性）

數據完整性保護（雙花攻擊防御、挖掘攻擊防御）

數據可控性保護（智能合約的邏輯和語義分析、訪問控制、安全審計）等以提高區塊鏈數據安全和隱私保護。

合規（AML/KYC等技術與安全）

隨著加密數字資產價值的不斷提高，它越來越被人們所接受和使用。由于數字資產的匿名性，世界各國都在加緊對鏈上資產加密交易的監管，對KYC的需求也在不斷增加。AML/KYC工作組通過對鏈上數據的分析，討論了區塊鏈上的異常交易、識別鏈上對應地址（KYC）背后實體的方法，以及追蹤匿名數字貨幣的方法。

區塊鏈開發安全工具

利用區塊鏈的不可篡改性對于數據的完整性進行保護，包括美國的國家安全部在研究的區塊鏈數據完整性系統就是把中心化需要保護的數據的Hash(相當于數據的指紋）進行上鏈，在使用的過程中檢測數據庫里面的數據的Hash與區塊鏈上的相對應的Hash是否相同來判斷數據的完整性。

密碼學在區塊鏈的應用

零知識證明，同態加密，和安全多方計算在區塊鏈和云安全領域有非常大的應用。目前，美國斯坦福大學，伯克利分校，和美國灣區的一些初創公司非常重視這方面的研究。比如，零知識證明可以用于隱私保護，性能擴充，和跨鏈交易證明。因此各種零知識證明的優化方法層出不窮。零知識證明用于隱私保護主要是保護交易雙方的地址和具體交易的內容。零知識證明用于性能擴充，主要是利用零知識的遞歸證明減少驗證所需要的時間和內存，從而既能保證隱私，又能提高效率。在多方交易的情況下（比如供應鏈金融）安全多方計算是一個非常有用的算法。另外，同態加密意味數據可以在不被解密的情況下進行處理，處理的結果只有數據的擁有者才能解密。這個對于云安全和區塊鏈都有重大的意義。目前能夠滿足全同態加密的算法的速度還不夠，但是這方面的研究正在學術界如荼如火地進行。

公鏈和聯盟鏈安全

公鏈和聯盟鏈的主要兩個區別：公鏈不需要身份就可以進入公鏈的網絡。聯盟鏈必須經過身份或者證書的驗證才能進入聯盟的網絡。另外一個區別是共識算法。公鏈的共識算法對安全要求比較聯盟鏈的共識算法安全要高。在公鏈與聯盟鏈結合的時候需要考慮到他們之間不同的安全的要素。

跨鏈安全

跨鏈可以有同構的跨鏈和異構鏈之間的跨鏈。同構的跨鏈的安全方面較為簡單。因為同構的區塊鏈具有相同共識算法，共同的數據格式和交易確認時間。如果其中某一條鏈分叉了，另外一條鏈應該在規定的時間可以收到信息并且進行處理。但是異構鏈之間的跨鏈，如果其中某一條鏈分叉了，怎么辦？這還是一個沒有解決的問題。所以，跨鏈之間的安全是非常值得深入探討的問題。

節點配置安全

區塊鏈的共識節點決定數據的一致性問題。如果共識節點因為配置的不夠安全，遭到黑客攻擊，成為錯誤的節點。那么在這種情況之下，就有可能造成區塊鏈網絡的不安全。

運維安全及安全預算建議

區塊鏈項目在上線以前必須通過第三方的安全審計。即使在上線以后也要做定時的安全監測，因為新的安全攻擊經常發生。如果有新的智能合約或者新的應用案例上線以前，必須進行安全的檢測。在運維過程之中，需要建立一系列的工具去檢測區塊鏈網路的運行狀況，一般來說，整個區塊鏈項目10%到20%的預算必須用于安全。低于10%安全預算的區塊鏈項目基本上在上線6個月內就會有重大的安全問題發生。

區塊鏈安全與企業組織關系

一個企業如果決定利用區塊鏈部署應用落地項目，那么這個公司必須有區塊鏈安全的專職人員。公司的CEO必須對于安全負責。分析以前在國內或國外的區塊鏈安全事件，100% 都是因為公司的主要負責人（CEO）對于安全不重視，有的即使有區塊鏈安全的專職人員，因為不能得到公司的支持，不能真正發揮作用，最終還是導致安全事件發生。因此區塊鏈安全與企業組織關系必須有利于安全的技術開發和落地，也必須有利于第三方的安全審計。

隱私計算（Privacy Computing）

隱私計算是指在保護數據本身不對外泄露（隱私保護）的前提下，實現數據分析計算的一類信息技術，主要分為密碼學和可信硬件兩大領域。

密碼學中重要的技術有多方計算MPC、同態加密、零知識證明ZKP、差分混淆等。多方安全計算技術核心思想是設計特殊的加密算法和協議，從而支持在加密數據之上直接進行計算。目前MPC通過秘密分割、不經意傳輸、混淆電路或同態加密等專門技術實現，通用性相對較低、性能處于中等水平，但近年來性能提升迅速、應用價值極高。

可信硬件技術目前主要指可信執行環境（TEE），其核心思想是構建一個硬件安全區域，數據僅在該安全區域內進行計算。TEE將信任機制交給硬件方（Intel的SGX、ARM的TrustZone、AMD的SEV等產品），嚴格來講并不屬于“數據可用不可見”，但其通用性高、開發難度低，使得在數據保護要求不是特別嚴苛的場景下存在價值發揮的可能。

此外，還有了聯邦學習、共享學習、知識聯邦、聯邦智能等一系列“聯邦學習類”技術，以實現機器學習、數據建模、數據預測分析等具體場景為目標，通過對上述技術改進融合，在算法層面進行調整優化而實現

綜上所述，區塊鏈安全目前面臨的主要問題有共識過程的中心化、智能合約代碼漏洞、算法漏洞、系統實現代碼漏洞等，分析區塊鏈安全性CIA需要從綜合系統安全性、算法安全性、使用安全性、實踐安全性與協議安全性等方面進行分析完善。行業需要從學術、技術和實踐等方面研究區塊鏈安全，探究其中存在的安全風險、對抗風險所需采取的措施，以及實踐經驗，最后形成一個安全規范，作為檢測、開發、應用的具有開放性和經濟性的指導標準，以解決“區塊鏈的安全，誰來保障？”的問題，為打造一個更安全的數字經濟和數字時代DT的到來打下堅實的基礎和保障。

作者：Larry, 黃連金

Tags：區塊鏈HTT比特幣TPS區塊鏈技術通俗講解小區HTT幣30歲老公玩比特幣輸了好多錢怎么辦https://etherscan.io

世界幣