區塊鏈:區塊鏈安全入門筆記（完結篇）

隨著越來越的人參與到區塊鏈這個行業中來，為行業注入新活力的同時也由于相關知識的薄弱以及安全意識的匱乏，給了攻擊者更多的可乘之機。面對頻頻爆發的安全事件，慢霧特推出區塊鏈安全入門筆記系列，向大家介紹區塊鏈安全相關名詞，讓新手們更快適應區塊鏈危機四伏的安全攻防世界！系列回顧：區塊鏈安全入門筆記(五)|慢霧科普區塊鏈安全入門筆記(六)|慢霧科普區塊鏈安全入門筆記(七)|慢霧科普區塊鏈安全入門筆記(八)|慢霧科普區塊鏈安全入門筆記(九)|慢霧科普粉塵攻擊DustingAttack

粉塵攻擊(DustingAttack)最早發生于比特幣網絡當中，所謂粉塵，指的是交易中的交易金額相對于正常交易而言十分地小，可以視作微不足道的粉塵。通常這些粉塵在余額中不會被注意到，許多持幣者也很容易忽略這些余額。但是由于比特幣或基于比特幣模型的區塊鏈系統的賬本模型是采用UTXO模型作為賬戶資金系統，即用戶的每一筆交易金額，都是通過消費之前未消費的資金來產生新的資金。別有用意的用戶，就能通過這種機制，給大量的賬戶發送這些粉塵金額，令交易粉塵化，然后再通過追蹤這些粉塵交易，關聯出該地址的其他關聯地址，通過對這些關聯地址進行行為分析，就可以分析一個地址背后的公司或個人，破壞比特幣本身的匿名性。除此之外，由于比特幣網絡區塊容量大小的限制，大量的粉塵交易會造成區塊的擁堵，從而使得交易手續費提升，進而產生大量待打包交易，降低系統本身的運行效率。對于如何避免粉塵攻擊，可以在構造交易的過程中，根據交易的類型，計算出交易的最低金額，同時對每個輸出進行判斷，如果低于該金額，則不能繼續構造該筆交易。特別的，如果這個輸出剛好發生在找零上，且金額對于你來說不太大，則可以通過舍棄該部分的粉塵輸出，以充作交易手續費來避免構造出粉塵交易。其次，為了保護隱私性，慢霧安全團隊建議可以在構造交易時把那些金額極小的UTXO舍棄掉，使用大額的UTXO組成交易。C2攻擊C2Attack

德勤2020年區塊鏈調查顯示區塊鏈采用率顯著提高:金色財經報道，德勤的區塊鏈全球調查報告顯示，今年接受調查的公司中有39％已將區塊鏈技術集成到其運營中，這與2019年的23％相比有了大幅增長。接受調查的1488位高級管理人員和從業人員來自14個國家和地區，其中55％將區塊鏈列為其公司的五大戰略重點之一，而82％的人表示，他們已經在招聘具有區塊鏈專業知識的新員工，或計劃在接下來的一年內這樣做。不同國家的區塊鏈采用情況并不均衡。例如，只有31%的美國受訪者表示他們的公司已經將區塊鏈納入生產。與之形成鮮明對比的是，中國的數字幾乎是美國的兩倍，即59%。其他國家也在區塊鏈采用方面也超過了美國。此外，88%的受訪者表示，區塊鏈具有廣泛的可擴展性，并將最終實現大規模普及。[2020/6/17]

C2全稱CommandandControl，翻譯過來就是命令執行與控制，在傳統的網絡攻擊中，在通過各種漏洞進入到目標服務器后，受限于空間，通常通過網絡拉取二段exploit進行駐留，實現后滲透流程。所以，C2架構也就可以理解為，惡意軟件通過什么樣的方式獲取資源和命令，以及通過什么樣的方式將數據回傳給攻擊者。在傳統的攻擊手法中，攻擊者一般通過遠程服務器拉取命令到本地執行，但是這種方式也有很明顯的缺點，就是一旦遠程服務器被發現，后續滲透活動就無法正常進行。但是區塊鏈網絡提供了一個天然且不可篡改的大型數據庫，攻擊者通過把攻擊荷載(payload)寫進交易中，并通過發送交易把該命令永久的刻在區塊鏈數據庫中。通過這種方法，即使攻擊命令被發現，也無法篡改鏈上數據，無需擔心服務器被發現然后下線的風險。新技術不斷發展，舊有的攻擊手法也在隨著新技術的變換而不斷迭代更新。在區塊鏈的世界中只有在各方面都做好防范，才能避免來自各方面的安全攻擊。洗幣MoneyLaundering

動態 | 中國區塊鏈測評聯盟籌備工作會啟動:據東北新聞網消息，近日，在中國國際經濟技術合作促進會區塊鏈技術與應用工作委員會（簡稱“中促會區塊鏈委員會”）的指導下，由藍石區塊鏈實驗室與北京航空航天大學作為核心發起單位的“中國區塊鏈測評聯盟”籌備工作會議如期舉辦。本次籌備會對聯盟的定位、前期籌備工作及下一步工作計劃進行了討論，圍繞區塊鏈行業標準體系的構建研究進行了探討。“中國區塊鏈測評聯盟”將建成國內權威的區塊鏈產業公共服務平臺，發布區塊鏈權威測評團體標準，并依此實際開展測試業務，打造中國乃至國際區塊鏈產業第一資源整合、創新服務平臺。

?[2018/9/17]

洗幣和洗錢是一樣的，只是對象不同，洗錢指的是將一筆非法得到的金錢通過某些操作后變成正當、合法的收入。而洗幣也是一樣，指的是將非法獲取的代幣，如通過黑客攻擊、攜帶用戶資產跑路或通過詐騙等手段獲取的代幣，通過某些手段，將其來源變成正當、合法的來源。如通過交易所進行洗幣、智能合約中洗幣或通過某些攪拌器進行中轉、通過匿名幣種如門羅幣，Zcash等，令非法所得的資金無法被追蹤，最后成功逃過監管達到洗幣的目的，然后通過把代幣轉換成法幣離場，完成洗幣的流程。慢霧安全團隊建議各交易所應加強KYC策略，增強風控等級，及時監控交易所大資金進出，防范惡意用戶通過交易所進行洗幣，除此之外，可以通過與第三方安全機構進行合作，及時攔截非法資產，阻斷洗錢的可能。勒索Ransom

動態 | 美國參議院將審查區塊鏈技術能源使用效率:據Coindesk消息，美國參議院下周將重新審查區塊鏈技術的能源損耗情況，能源和自然資源委員會將于8月21日舉辦關于“區塊鏈及該類技術能源使用效率”的聽證會，以便更好地了解區塊鏈技術如何影響電價，以及可能帶來的好處。同時評估區塊鏈和該類技術是否可以改善能源供應計算機系統的在線安全性。據悉，這是參議院委員會聽證會首次聚焦于區塊鏈在能源行業中的潛在作用和影響。[2018/8/17]

勒索是傳統行業中常見的攻擊行為，攻擊者通過向受害者主機發送勒索病對主機文件進行加密來向受害者進行資金勒索。隨著區塊鏈技術的發展，近年來，勒索開始呈現新的方式，如使用比特幣作為勒索的資金支付手段或使用匿名性更高的門羅幣作為資金支付手段。如著名的GandCrab病就是比特幣勒索病，受害者需要向攻擊者支付一定量的比特幣換取解密私鑰。通過這種勒索手段，GandCrab勒索病一年就勒索了超過20億美金。值得一提的是，就算向攻擊者發送比特幣，也不一定能換取解密私鑰，造成“人財兩空”的局面。除此之外，慢霧安全團隊還捕獲到某些攻擊者通過發送勒索郵件，謊稱檢測到交易所的漏洞，需要支付一定金額的比特幣才能提供解決方案。這種勒索方式也是區塊鏈行業近來越來越流行的勒索手段。慢霧安全團隊在此建議，當資產已經因勒索病而造成損失時，不要慌張，更不要向攻擊者支付比特幣或其他加密貨幣，可以嘗試登陸https://www.nomoreransom.org/zht_Hant/index.html這個網站尋找解決方案。同時，交易所在收到這些郵件時需額外警惕，千萬不能向攻擊者支付比特幣或其他加密貨幣，必要時可尋求第三方安全公司的協助。至此，區塊鏈安全入門筆記系列文章就將暫時告一段落，關注公眾號“慢霧科技”并回復“科普”可快速查看完整十篇科普文章，未來慢霧安全團隊將帶來更多更優質的文章以幫助大家更好的了解區塊鏈這個繽紛而又危險的世界。同時為了提供一個更加開放的區塊鏈安全學習交流環境，慢霧安全團隊現已開放「慢霧區·區塊鏈安全學習交流群」，可搜索微信號：helloslowmist添加“慢霧區小助手”并回復“進群”，就有機會加入「慢霧區·區塊鏈安全學習交流群」！

諾貝爾經濟學獎得主馬斯金：區塊鏈技術是一個非常好的想法，但加密貨幣并不是:近日，2007年諾貝爾經濟學獎獲得者埃里克?馬斯金（Eric Maskin）在表示：“區塊鏈技術是一個非常好的想法，但是加密貨幣并不是。所以我對未來的一個看法就是，政府可以利用、借力區塊鏈技術，但是對虛擬貨幣要有很好的管控。我認為區塊鏈技術還有虛擬貨幣能夠發揮的作用就是在可控的范圍內，在政府的傳統金融體系之下。銀行要繼續發揮主導作用，我們的金融體系，金融調控制度應該保證現有的大局、格局不變，那么在這個背景之下，來進行一些優化，尋求一種簡單應用和安全可靠的金融貨幣體系。”[2018/4/27]

Tags：區塊鏈比特幣加密貨幣AND區塊鏈存證多少錢比特幣美元最新價格加密貨幣為什么有價值OLAND價格

火必交易所