黑客肆虐资产被盗区块链App如何谈安全? 锌声

来源:未知 发布于 2019-04-13  浏览 次  

  在英剧《神秘博士》中,主人公的时间机器Tardis是一个电话亭。虽然从外面看着很小,但里面的空间巨大无比。

  如果Tardis放在互联网世界中,它便是手机中一个小小的APP Store。

  聊天、煲剧、点外卖、订票……现在的年轻人已越发离不开一个个APP。相似的场景,在不久后,也将发生在区块链上。

  在区块链上的APP,被称作DApp,即去中心化的APP。DApp基于智能合约,双方将约定的内容写进程序中,从而无法被篡改。

  目前,基于公链开发的DApp数量保持高速增长。套改士官必须留三期吗,根据据显示,今年前三季,以太坊上已有超过 900 个DApp,而在去年第二季度末,DApp的数量只有7个。

  此外,如今市场上60%的DApp都是游戏,在今年第三季度EOS上推出的60中新DApp中,超过一半是投注、博彩类应用。

  在高速增长背后,DApp的安全问题不容忽视。一个小小的漏洞,会造成巨大损失。

  今年10月底,基于EOS主网开发的DApp EOS Cast游戏遭遇黑客攻击,团队账户共损失了超过7万枚EOS。据EOS当前价格估算,本次攻击中,EOS Cast平台损失超255万元人民币。

  由于区块链上的数字资产采用的是匿名交易的原则,数字资产丢失后,几乎无法找回。一旦发生黑客攻击事件,运营团队和用户只能自认倒霉。

  据PeckShield的最新数据,截至2018年12月12日,共发生35起DApp安全事件,共损失超过41万个EOS,市值近1000万元人民币。

  一是游戏的逻辑设计问题,本身出现Bug;二是DApp遭遇黑客攻击,资产被盗走;三是菠菜(博彩)类游戏随机算法被攻破。

  DApp被黑客攻击事件频发,安全问题就成为DApp发展过程中绕不过的坎。

  如何解决这些难题?如何在设计DApp时就防范有可能产生的安全问题?当DApp大规模爆发时,又会给公链带来怎样的压力和挑战?

  12月20日,锌财经举办了本月第三场区块链主题分享活动,锌财经创始人潘越飞邀请了PeckShield EOS安全负责人施华国对上述问题做出解答。

  施华国原是网秦安全响应负责人、360高级安全研究员、阿里巴巴高级安全专家,有10年移动互联网安全经验,主要专注于软件攻防和数据安全方向。

  目前三大主流DApp公链有 ETH、EOS和TRON。先看以下三个公链的特点比较。

  左边的 ETH 属于 DApp 的第一代公链,从2015年7月30日上线,虽然已运行三年多,但由于高额GAS费用和每秒不到10个的交易速度,极大制约了它的发展。目前ETH上的DApp总数只有1705个,由于性能限制,在ETH上很难有高频操作的游戏。现在用户活跃较高的DApp主要是去中心化交易所和低频交易的游戏。

  而随着EOS在2018年6月9日上线个多月的稳定过度期,在10月初EOS开始出现大规模爆发,现在EOS上DApp 数量已经达到238个。

  从图中可以看到,EOS在10月初出现DAU(日活跃用户数量)大幅上涨,最高时是ETH的6、7倍。但EOS的DAU数据波动比较大,这和安全事件、群控刷量行为等诸多因素有关。

  在看浅蓝色的TRON的DAU数据,数据量虽然最高只有5000,但毕竟它上线比EOS更晚,体量又小,从长远看,我认为TRON的未来会有较大的发展空间。

  下面这张图是三网DApp交易额数据对比,数据分析也是截止到2018年12月13日。

  EOS目前的现状确实是竞猜类游戏为主,总数在DApp中占据了一半以上,并且交易额排名前几的都是竞猜类游戏。这个是不得不承认的事实。

  但是同时我们也可以看到,仍然会有些优秀的DApp保持稳定、健康增长。比如去中心化交易所Newdex,现在交易额已经排名在第六。而另一款卡牌类游戏EOS Knights,在去除假量的真实DAU排名中,一直稳定在前五的位置,也拥有忠实玩家。

  近期又有些开发者从ETH上的DApp和传统游戏领域开始转型加入EOS DApp开发的队伍中。

  从行业度看,哪条链能获得最大规模的开发者?哪种类型的DApp最有机会跑出来?

  DApp用户群体最大、热度最高的还是EOS,开发者肯定是要集中最优的资源在大平台上做更大投入了。除了EOS,TRON发展的势头也很迅猛,通过我们的数据分析,发现两个公链的DApp用户活跃度确实会有部分相互影响,未来TRON或许会成为EOS的一个不可忽视的竞争对手。

  至于哪类DApp会成为新的Killer DApp,这个不好说。好多DApp上线时都号称自己是Killer DApp,宣传搞得火热但没多久就凉了。不过目前看,游戏至少是一个好的开端。

  截至2018年12月12日,共发生35起DApp安全事件,共损失超过41万个EOS,市值近1000万元人民币。

  我们发现从EOS生态早期到现在,黑客攻击原理其实是在不断演变的,从最早的溢出攻击到合约RAM吞噬问题,再到重放攻击、假EOS、假通知攻击,以及近一两个月比较活跃的随机数和交易回滚攻击等。黑客的攻击手段越来越复杂,也越来越成体系,攻击者还会定期用已知攻击扫描漏洞尝试攻击新上线的游戏,这给EOS本来就薄弱的早期发展生态带来了更大的挑战。

  开发者一定要对安全有足够的防范意识,首先开发阶段需要参考安全编码规范进行编写代码,以降低被已知漏洞攻击的风险;其次需要找专业的安全团队对合约代码进行安全审计;最后一点也是最重要的,你永远无法预知未来是否会遭到黑客攻击。所以开发者一定要有一套完整的应急响应风控系统,确保当真正遭受攻击时,会及时预警并做熔断处理。