ETH:一月、二月區塊鏈安全事件盤點

導語：在整理近兩個月發生的安全事件時，筆者不禁想起互聯網的早期，也曾走過安全事件頻發的階段。即使到現在，互聯網行業的安全事故也沒有完全杜絕。其實，任何新生的事物，都會存在安全隱患。區塊鏈在經歷18年的瘋狂之后，慢慢回歸理性，各種落地應用產品正在慢慢面世。對于新興的行業來說，經歷的安全事件是必不可少的。所以獵豹區塊鏈安全將會堅持盤點每月的安全事件，在整理的同時，也和大家，以及整個區塊鏈行業共同經歷著成長。2019年1月16日——ETH君士坦丁堡升級推遲

事件背景

根據計劃，以太坊社區原定會在7,080,000區塊高度時進行君士坦丁堡分叉，這個時間大概是在中國的2019年1月16日。但是在升級前夜，ChainSecurity發布了君士坦丁堡升級相關的潛在問題。出于謹慎考慮，以太坊基金會決定推遲此次分叉。漏洞類型：可重入漏洞事件經過及安全分析

·為了更好的在未來過度到POS模式，以太坊基金決定推出過渡的升級方案——君士坦丁堡升級。因為在以太坊社區內部沒有太多爭議，所以不會導致硬分叉，而是以軟分叉方式平穩過渡到下一階段。·君士坦丁堡升級包括減少礦工回報等一系列的改進方案，其中的EIP1283將代替原來的1087，調整SSTORE操作碼的凈Gas計量。·雖然這看上去是對開發者很友好的方案，但是ChainSecurity卻發現了其中的隱患：攻擊者可以使用updateSplit設置當前split，以第一個地址(合約地址)接收所有的資金；并且調用splitFunds函數，；從回調函數，攻擊者可以再次更新split，這次將所有資金分配到攻擊者的第二個賬戶；splitFunds的執行繼續，全部存款也轉到第二個攻擊者賬戶。·由于Gas費的下降。在升級之前，每個storage操作都需要至少5000gas。遠遠超過了使用transfer或send來調用合約時發送的2300gas費。·而在升級之后，攻擊者合約可以使用2300gas費成功操縱漏洞合約的變量。·簡單來說，攻擊者可以在以太坊升級后執行TheDAO級別的重入攻擊。·基于安全考慮，以太坊在深度討論后，于太平洋時間上午12點宣布推遲君士坦丁堡升級計劃安全小豹的看法

幣安將推出為期一月的BETH零掛單交易費用活動:4月10日消息，幣安將推出BETH零掛單交易費用活動，從北京時間4月10日20:00到5月10日20:00，涵蓋BETH/ETH和BETH/USDT現貨交易對。[2023/4/10 13:54:20]

現實與理性總是會有一定距離，簡單的幾行代碼就拖住了以太坊的升級步伐，在全面轉向POS之前，又會經歷哪些困境？分片，雷電網絡這些優秀的技術何時才能面世？在成為“世界計算機”之前，以太坊還有很長的路要走。

2019年1月6日——ETC被51%攻擊

事件背景

作為TheDao事件的硬分叉產物，是全球市值第二大的分叉鏈。分叉之后ETC一直使用POW算法，但全網算力一直處于比較低的水平，這導致了ETC主網在1月6日遭受了51%的雙花攻擊。損失規模：約110萬美元漏洞類型：51%攻擊事件經過及安全分析

·2019年1月6日，安全團隊警告ETC團隊，ETC存在被51％攻擊的可能性。第二天，Coinbase官方確定ETC總共發生15次攻擊，其中12次包含雙花，損失共計219,500ETC（約110萬美元。coinbase也暫時關閉了ETC的交易。·通過分析發現，此次事件的受害者主要是Biture和Gate.io兩家交易所·緊接著，安全公司通過與Gate.io，Bitrue和Binance交易所的配合，嘗試定位攻擊者。·1月14日，Gate.io方面表示，目前已經有價值10萬美元的ETC被歸還。安全小豹的看法

數據：過去一月Purpose Bitcoin ETF增持2908枚比特幣:據歐科云鏈鏈上大師數據顯示，Purpose Bitcoin ETF在六月共計增持2908枚比特幣，當前持倉量為2.2萬枚比特幣。此外3iQ CoinShares、CI Galaxy、Evolve三家的比特幣ETF持倉量分別為2.04萬、3169以及1716枚比特幣，較六月初分別增持2060、124以及145枚比特幣。[2021/7/2 0:22:28]

本質上來說，51%攻擊是沒有任何辦法進行提前的監測的，要想完全杜絕51%攻擊，只能想辦法提升全網算力，或者干脆修改共識算法。站在安全公司的角度看，可以通過計算購買算力需要的成本與攻擊可能獲得的代幣，再參考當前幣價，來綜合判斷某個時間點某條公鏈被51%的可能性。雖然無法完全杜絕，但是一旦發生51%攻擊，我們可以提高每一筆交易的確認區塊數量以及暫停這個幣種的充提幣，來把損失降到最小。2019年2月——EOSDAPP被大量攻擊

事件背景

19年1月，EOS公鏈上的一系列競猜類游戲遭到了新型交易阻塞攻擊事件。中招應用包括EOS.Win、FarmEOS、影骰、LuckBet、GameBet、EOSDice、STACKDICE等熱門DAPP。損失規模：約20起，500萬美元漏洞類型：阻塞攻擊等事件經過及安全分析

ETH交易凈流量（1d MA）達到近一月的低點:Glassnode數據顯示，ETH交易凈流量(1d移動均線)達到一個月低點-9,847.630 ETH，之前一個月低點是3月7日的-9,591.458ETH。[2021/4/4 19:43:52]

·不同于以往頻發的隨機數或交易回滾攻擊等合約層的攻擊行為，這是一種利用底層公鏈缺陷而發起的攻擊行為。深入分析后發現，這是存在于主網層的致命拒絕服務漏洞，攻擊者可發起大量垃圾延遲交易導致EOS全網超級節點無法打包其它正常交易，即通過阻斷打包正常用戶的交易進而癱瘓EOS網絡。·由于該漏洞本質上屬于底層主網問題，任何DApp游戲，只要依賴如賬號余額或時間等相關鏈上因素產生隨機數，都存在被攻擊的可能。·這也是為什么在一月份出現大量EOS的DApp被攻擊的原因。安全小豹的看法

EOS漏洞事件頻出，很多都是由于開發人員不嚴謹導致的，據筆者了解，很多DApp背后只有1-2個程序員，連完整的測試人員都不存在。在這種情況下，漏洞出現的可能性就非常大，更可能被攻擊。為目前EOS的開發人員并不多，成熟的開發者就更少了。但是對于EOS這樣的公鏈來說，這是一個必須經歷的階段，相比于去年，EOS上的Dapp和用戶都呈現激增的態勢，加上安全公司的努力，未來前景還是非常光明的。2019年1月14日——Cryptopia交易所被盜

分析 | BTC鏈上活躍度突破近一月震蕩區域 流量快速回升:據TokenInsight數據顯示，反映區塊鏈行業整體表現的TI指數北京時間10月08日8時報617.33點，較昨日同期上漲22.37點，漲幅為3.76%。此外，在TokenInsight密切關注的25個細分行業中，24小時內漲幅最高的為物聯網行業，漲幅為10.07%；24小時內跌幅最高的為其它商務與租賃行業，跌幅為27.93%。

據監測顯示，BTC 24h交易額為$178億，活躍地址數較前日上升22.13%，轉賬數較前日上升14.56%。BCtrend分析師Jeffrey認為，BTC鏈上活躍度突破近一月震蕩區域，同時流量快速回升，短期或將震蕩上行。

另據Bituniverse智能AI量化分析，今日行情可開啟LTC/ETH幣幣網格交易，區間0.293-0.343 ETH，同時賺取兩幣超額收益。注：以上內容僅供參考，不構成投資建議。[2019/10/8]

事件背景

Cryptopia是位于新西蘭的一個小型交易所，被圈內稱為C網，日均交易量大概在300萬美元左右，交易的幣種超過500種。損失規模：約1600萬美元漏洞類型：私鑰泄露

分析 | ICO項目方在過去一月拋售ETH的數量 不如2018年12月一天的多:據Santiment 統計顯示，最近一個月以來，ICO項目方累計消耗以太坊數量僅為28500ETH，約合3800萬美元，這個數字已經是開始記錄以來的最低水準。轉移超過8500ETH的項目方只有Bancor等零星數個項目放，大多數項目方還是傾向于繼續持有以太坊。對此，Singularity Financial表示，ICO項目方停止拋盤ETH的可能性有如下幾個方面：一、套現的法幣已足夠項目運營；二、幣價趨于穩定，看好后市幣價；三、采用抵押ETH獲得法幣等方法維持項目運營。[2019/2/25]

事件經過及安全分析

·當地時間2019年1月15日，Cryptopia交易所官方發布通知，交易所遭黑客攻擊，Cryptopia交易所將關閉交易所服務，全力配合調查并嘗試追回被盜資金。·從公開資料來看，被盜的數字貨幣主要是ETH以及以太坊區塊鏈上的各種ERC-20代幣，總計價值約1600萬美元。·根據Elementus的分析，C網對此次安全漏洞的反應非常遲緩。黑客在1月13日到17日的5天時間，陸續將76000個ETH從錢包中轉移。而交易所方面沒有任何反應，并對用戶聲明：黑客擁有私鑰，可以隨意從任何Cryptopia錢包中提取資金。·種種跡象看來，很可能的原因是C網簡單的把私鑰存儲在某個服務器上，而黑客通過黑掉該服務器，導致C網無法從服務器獲取私鑰。安全小豹的看法

可以看到，C網在管理私鑰方面的混亂和隨意，導致了悲劇的發生。這次事件再次提醒了廣大交易所與用戶，對私鑰管理要存在敬畏之心，確保100%安全的保護私鑰是區塊鏈世界最基本的法則。另外，眾所周知，C網在業內以幣種多著稱，原因之一是，在C網上架山寨幣非常簡單粗暴，只需給錢和投票兩個步驟，這就導致C網上大部分幣種交易量很低，主要成為搬磚黨的樂園。筆者認為這種上幣模式是非常糟糕的，在此建議大大小小的交易所，在上幣前，一定要有對項目進行安全審計的流程，這是最基本的，對用戶負責的體現。交易所其他安全事件：

·春節期間，加拿大最大的加密貨幣交易平臺QuadrigaCX被爆出創始人Cotten意外死亡，·2月13日，Coinbase交易所發放了價值3萬美元的漏洞懸賞，從金額上可以看出，該漏洞是系統性的關鍵漏洞。這種懸賞對行業來說非常有價值，建議每個交易所和公鏈都應該做類似的激勵以促進安全領域的進步。2019年1月——Ryuk勒索病猖獗

事件背景

美國網絡安全公司跟蹤了臭名昭著的，名為Ryuk的勒索病，該病在互聯網上傳播，通過鎖定計算機文件，向受害者索取比特幣，并且建立激勵機制鼓勵參與者傳播病。

損失規模：約370萬美元漏洞類型：勒索病事件經過及安全分析

·在過去的5個月內，GRIMSPIDER的黑客組織通過勒索病收到超過705個，相當于370萬美元的BTC。·勒索病的特點是，一旦電腦中了該病，所有的硬盤文件會被加密鎖定，直到受害者聯系黑客并支付比特幣。·在新年期間，美國的一些主流媒體中招，導致服務暫停，受害者包括“洛杉磯時報”、“圣迪戈聯合論壇報”、“華爾街日報”和“紐約時報”·此次攻擊與去年發生的勒索攻擊不同，黑客攻擊對象主要瞄準了企業計算機，并且會根據目標組織的價值和規模計算贖金的金額·根據CrowdStrike的報告，此次勒索攻擊最低贖金是1.7BTC，最高的是99BTC，目前已經有37個BTC地址收到了52筆交易，GRIMSPIDER黑客集團已經非法獲利705.80BTC，價值約為370萬美元。

總結

就目前來看，行業的安全事件還一直居高不下，這其中的原因很多，比如區塊鏈行業的技術標準和規范不統一，每家都有自己的基礎架構；開發者和用戶的安全意識還不夠，無論企業團隊還是開發團隊，都需要加強這方面的培養；最后，行業中安全機構與專業安全人才還太少，面對層出不窮的黑客攻擊，亟需更多安全人才的加入。其實，基于區塊鏈的技術特點，任何開發者都需要有很強的安全意識，第一條代碼開始，就要有意識到基礎可能會遇到的安全問題，讓項目減少為認知所付出的成本。

Tags：ETHEOS以太坊ETC1eth幣等于多少人民幣NEOS幣比特幣以太坊行情分析NETC

Ethereum