金色觀察｜“迷途知返”的黑客與區塊鏈安全隱憂_OLY

截止到8月11日12時59分，PolyNetwork發生的O3資金池被盜事件，在持續發酵后，似乎有了最終結果。

黑客使用攻擊地址“自己給自己”發送交易，在交易附帶信息里說到“INEEDASECUREDMULTISIGWALLETFROMYOU”

隨后PolyNetwork回復：“Wearepreparingamulti-sigaddresscontrolledbyknownPolyaddresses”并在50分鐘后回復了以太坊、BSC、Polygon三條鏈的接受地址，分別為：

ETH:0x71Fb9dB587F6d47Ac8192Cd76110E05B8fd2142f

金色午報｜1月13日午間重要動態一覽:7:00-12:00關鍵詞：Coinbase、Simplify、數字英鎊、OpenSea

1.美國兩黨議員呼吁商品期貨交易委員會加強加密貨幣監管；

2.Coinbase將收購受到美國CFTC監管的衍生品交易所FairX；

3.Checkout.com完成10億美元D輪融資，將加強Web3領域的擴張；

4.資產管理公司Simplify向美國SEC提交Web3 ETF申請；

5.英國上議院議員：數字英鎊用于零售可能會損害金融穩定；

6.美國服裝公司GAP將于Tezos上推出游戲化NFT；

7.全球最大的信用卡和借記卡暗網市場UniCC將于1月22日關閉；

8.OpenSea新增Watchlist功能。[2022/1/13 8:46:19]

BSC:0xEEBb0c4a5017bEd8079B88F35528eF2c722b31fc

金色算力云運營副總裁Maggie：目前Filecoin的參與?式，主要是挖礦和購買交易所期貨兩類:據官方消息，8月19日，金色算力云受邀參加新浪潮之巔，數字金融礦業大會。金色算力云運營副總裁Maggie以《Filecoin 挖礦新姿態》為主題進行分享。Maggie表示，“目前主網還沒有上線，?Filecoin的參與?式，主要是挖礦和購買交易所期貨兩類。挖礦，包括購買礦機及云算?。?金色算力云主要是云算?方向。??算力云是?色財經推出的算?銷售平臺。?戶在我們平臺，主要通過購買云算?的?式，參與在Filecoin挖礦中去。主要的特點包括，1. 我們同頂尖的礦機?商進?深度合作，經過調研，市?上的礦機?商有300余家，我們認真甄選了優秀的礦機?商進?合作，為?戶的算?把關。?

2.礦機購買具有準?門檻，基本礦機價格都在萬元以上，?戶在金?算?云平臺上，可以從0.1T開始購買，最低150元可以參與Filecoin 測試?獎勵及頭礦紅利。?

3.??算?云提供了三?保障，從主?上線時間、回本周期、本?保障三塊，給予?戶以安全感。”[2020/8/19]

Polygon:0xA4b291Ed1220310d3120f515B5B7AccaecD66F17

金色晨訊 | 5月22日隔夜重要動態一覽:21:00-7:00關鍵詞：兩會、人大提案、伊朗總統、gas費

1.伊朗總統呼吁為加密貨幣挖礦制定國家戰略。

2.原保監會副主席周延禮：區塊鏈能幫助保險業實現降本增效。

3.楊元慶：區塊鏈在提升疫情防控效率等方面發揮了巨大作用。

4.四川省高院副院長：區塊鏈在司法領域建設中應確保應用協同性。

5.西安市未央區法院利用區塊鏈等實現批量立案與分案。

6.人大代表孫丕恕提出《關于用區塊鏈技術助力質量強國建設的建議》。

7.CME比特幣期貨5月合約收跌5.17%。

8.以太坊上gas費消耗最多的前七個項目中有五個疑似龐氏騙局。

9.比特幣持續下跌，日內最低跌至8818美元。[2020/5/22]

這場漫長的溝通經歷差不多15小時，第一次嘗試溝通，PolyNetwork嘗試取得溝通，并留下了溝通郵箱。2小時后，繼續溝通表示，如果歸還資產，會因為這次發現安全漏洞給予安全獎勵。

金色相對論丨朱砝：幣價影響挖礦收益 礦場賣幣很難影響行情:在本期金色相對論上，幣印礦池聯合創始人朱砝指出，礦場賣幣已經很難影響行情，但幣價確實影響挖礦收益。現在的幣價很難賺錢，從所有靜態的數據來計算的話，收益都不太理想。但是有句話叫牛市買幣熊市買機，可能礦機價格會跌到一個很理想的價格，等待礦工抄底。每一次熊市中礦工都是有抄底機會的，因為幣價和難度等數據一直都在動態變化，所以其實很難預知實際的礦機回本時間。

關于礦場賣幣會不會砸盤，以及什么樣的礦場有盈利能力，朱砝指出：現在市場交易量夠大，礦場賣幣砸不了盤。現在挖礦賺錢的地區都是電費便宜的地區，也就是俗稱的能源洼地。[2018/6/27]

隨后黑客在攻擊地址表示，可能會建立一個DAO決定地址中資金的流向。

PolyNetwork再次回復，建立DAO也改變不了資金被盜的事實，如果歸還資產，會為黑客提供安全賞金，并且這也會成為歷史上最大金額的“白帽”黑客事件而被銘記。

金色財經現場報道 元道：三無幣加上快速傳播制造了整個泡沫的起源:金色財經現場報道，中關村區塊鏈聯盟理事長、世紀互聯創始人、中國互聯網協會常務理事元道指出：三無幣加上快速傳播，制造了整個泡沫的起源，這個一方面因為人們確實看到了區塊鏈是一個新技術革命的開始，另一方面反映出確實市場上存在的一批三無的空氣幣，沒有信仰，沒有代碼，沒有真正的執行團隊。因為有了互聯網，人人有手機，這些在全世界范圍大范圍傳播，三無幣加上快速傳播，帶來了整個泡沫的起源，這個現象是客觀存在的。[2018/5/26]

隨后便是黑客表示自己是傳奇，而將退還資產的關鍵消息的發布。

白帽黑客指正義的黑客，區塊鏈圈很多安全公司的中流砥柱都出自白帽。

也許這次參與的黑客真的如其所說，對錢不感興趣。

在下午5時左右，Poly公布的Polygon地址收到了101萬枚USDC。發稿前，其他地址暫時還沒有將資產轉入。

但作為區塊鏈從業者、用戶來說，面對攻擊事件，小概率可以得到善終，大概率是會波及項目和用戶資產安全。

此次安全事件發生后，在事件的評論中，有一條極為反諷的評論“講個笑話，區塊鏈是安全的。”

外行看熱鬧，內行看門道。

區塊鏈的安全是一個相對概念，而不是一個絕對概念。

在巨額收益的引誘、加密貨幣無監管、合約設計不成熟的情況下，加密貨幣網絡中的合約漏洞被當成黑客提款機也就不足為奇了。

傳統金融領域，安全不僅僅在于軟件，更多安全保證在于流程防護。但當全部的流程通過智能合約自動執行的時候，就會出現多個漏洞。

最大的保障變成了代碼正確性和安全案例的設計實踐。

此次Poly的問題就在于黑客可以控制資金池中管理賬戶轉賬的權限，當把轉出地址換成黑客自己的地址后，只要向合約發送虛擬的數據轉出交易，那資金池的資產就會順利被轉出。

這個漏洞主要在于，因為設計了一些合約接受某些數據而執行行為的操作，但可以執行這個動作又有多個因素管理，其中有一個因素漏洞被黑客利用了，劫取了“權限”。

這類事件還要有一個理解框架。

其中分為鏈的安全和合約安全。

一條公鏈，首先要保證鏈的安全，即總帳本的安全、交易打包的安全。然后是合約執行的安全。

軟件的安全依賴開發者代碼的成熟性，正所謂沒有絕對安全的系統，只有良莠不齊的開發者。

鏈的安全是指鏈上的共識算法設計、基礎協議的編寫不能有漏洞，其次是基礎協議執行的合約沒有問題，例如在以太坊上發型代幣，其合約是一個基礎流程，但如果合約漏洞里有明顯的增發漏洞，那極有可能被利用增發代幣。

鏈的安全，主要是共識來保證，比特幣使用中本聰共識，以太坊使用Ethash，波卡使用NPOS。其保證的是總帳本不能篡改。合約安全就只能考究其設計問題和編碼成熟度了。

所以合約設計者和開發者要嚴格設計合約，要檢查合約的設計漏洞，代碼編寫漏洞，設計邏輯，以及在業務場景里可能出現的問題。

在這里，我們還是再次通過合約審計的思路，來為大家提供理解合約安全的思路。

安全審計團隊拿到審計需求后，會先用團隊內部的安全審計工具過一遍，不過工具是一個輔助，然后進行人工審計，這個流程會按照審計列表將常規漏洞點審計一遍。

然后進行業務上的審計，其中包含什么業務場景、業務規模、業務邏輯。然后業務的描述如何，看代碼里是否有和描述功能不一致，是否會被薅羊毛，代幣是否有被鎖，權限設置錯誤問題，是否會增發或無限鑄幣等等。

但這些流程進行完畢后，上文講到，代碼的安全要看代碼編寫成熟度，而不同開發者因為其驚艷，對合約的判斷也不同，再加上智能合約的特殊性和DeFi業務邏輯復雜性，代碼審計必須要進行交叉審計，相互審查的。

就像Poly的以太坊合約問題，其在該合約后續的流程上是沒問題的，但在黑客看來，通過合約流程前面的一些數據偽造，就控制了其合約轉出的權限。也是一種迂回擊破的方式了。

或者因為Poly是一個跨鏈系統，出問題的部分可以稱為跨鏈合約交互部分，這也代表著跨鏈案例的實踐，要邏輯更為嚴密。

從智能合約的設計來看，絕大部分DeFi合約出問題都出在資產轉移、價格計算和權限控制上，因此這些方面開發者需要入手向上延展，并找到這條路徑上可能存在的薄弱環節加以防范。

Poly此次是萬幸的，黑客可以歸還資產，盡管目前歸還了一小部分，我們還在等待更多的資產轉賬。筆者從Poly處獲取的消息是，目前合約已經在升級，最優先級的目標是追回用戶資產，其他的細節會后續公布。

從黑客公布的消息看，似乎黑客已經接受了Poly提出的安全賞金，也希望在這場博弈里，雙方可以快速結束相互的拉扯。就像Poly說的，讓這一次安全事件，成為歷史上最大的白帽黑客事件。

Tags：OLYPOLPOLY區塊鏈polyx幣創始團隊polkadot幣怎么挖區塊鏈工程專業學什么女生好就業

比特幣行情