淺談EKT多鏈技術是如何應對黑客攻擊的

  網絡滲透測試     |      2023-03-30 10:43

摘要:隨著智能合約飛速發展,越來越多的項目基于以太坊發行token,鏈上資產的類別和規模呈指數級增長,“虛擬世界”中的數字資產也點燃了黑客們的“熱情”。以太坊區塊鏈被認為是區塊鏈的2.0時代,各種各樣新的數字資產都基于以太坊發行早期代幣甚至實現部分功能,雖然國外區塊鏈社區甚至認為以太坊體量變得太大,已經不可輕易戰勝,但以太坊也是數字貨幣歷史上產生最多安全問題的幣種,從2016年的The?DAO事件,到最近的BEC,EDU,SMT的安全漏洞,以太坊的智能合約可以說充滿安全漏洞。大多數的代幣都在自己主網上線前使用以太坊代幣,作為投資者,為了自身資產的安全著想,熟悉智能合約的漏洞概念變得尤為重要。

【黑客利刃砍出的ETH和ETC】

? ? ? The DAO作為世界上最大的眾籌項目,一度被寄予了厚望,所謂“成也蕭何,敗也蕭何”,智能合約一度被捧上了天,但在這次The DAO事件當中,其遞歸調用(recursive calling)的漏洞卻成為了黑客入侵的大門。此后出現“黑客”現身談攻擊合法性的戲幕,更是讓人大跌眼鏡,這第一次引出了智能合約代碼監管的問題。

2016年6月17日發生了在區塊鏈歷史上留下沉重一筆的攻擊事件。由于其編寫的智能合約存在著重大缺陷,區塊鏈業界最大的眾籌項目TheDAO(被攻擊前 擁有1億美元左右資產)遭到攻擊,導致300多萬以太幣資產被分離出TheDAO 資產池TheDAO編寫的智能合約中有一個splitDAO函數,攻擊者通過此函數中的漏 洞重復利用自己的DAO資產來不斷從TheDAO項目的資產池中分離DAO資產給自己。

攻擊者組合了2個漏洞攻擊,攻擊者利用的第一個漏洞是遞歸調用splitDAO函數,也就是說splitDAO函數被第一次合法調用后會非法的再次調用自己,然后不斷重復這 個自己非法調用自己的過程。這樣的遞歸調用可以使得攻擊者的DAO資產在被清零之 前,數十次的從TheDAO的資產池里重復分離出來理應被清零的攻擊者的DAO資產。 攻擊者利用的第二個漏洞是DAO資產分離后避免從heDAO資產池中銷毀。正常情況 下,攻擊者的DAO資產被分離后,TheDAO資產池會銷毀這部分DAO資產。但是攻擊 者在遞歸調用結束前把自己的DAO資產轉移到了其他賬戶,這樣就可以避免這部分 DAO資產被銷毀。在利用第一個漏洞進行攻擊完后把安全轉移走的DAO資產再轉回原 賬戶。這樣攻擊者做到了只用2個同樣的賬戶和同樣DAO資產進行了200多次攻擊。

被攻擊后,Vitalik個人支持分叉的提議,也支持軟分叉的開發工作,支持礦工升級客戶端來進行分叉。然而Vitalik也認識到大家對這個提議有激烈的爭論,無論哪一 方的觀點都有強力的反對。因為分叉不需要回滾交易,不會對用戶和交易所造成不便,這更使Vitalik傾向于采取行動的一方。也有許多人,包括在基金會內部,傾向于另外一方反對分叉。Vitalik不會阻止也不會反對另一方在公開場合宣傳他們的觀 點,甚至是游說礦工來抵制這個分叉。在這件事情上Vitalik會堅決的不與任何站在 相對他的另一方的人爭辯。

簡而言之,他們所做的是更改以太坊區塊鏈來修正DAO,但只有當大部分運行以太坊區塊鏈網絡的計算機同意,軟件才能進行更新,擺脫掉漏洞,就好像攻擊從來沒有發生過。這一過程被稱為硬分叉(hard fork),從此以太坊創造了一個平行世界,現在的以太坊其實是分叉出來的“以太坊”并在一年后狂飆突進的漲到了幾百美元,而原來不愿意分叉的包含The?DAO漏洞的以太坊則成了以太坊經典(ETC)。這一決定引發了強烈的反應,一年后仍然存在爭議,無論是在以太坊社區還是比特幣用戶都堅持區塊鏈的歷史不能被篡改,有些比特幣用戶認為硬分叉在某些方面違反了最基本的價值觀。

【Binance黑客VIA事件】

? ? ? 2018年在?3 月 7 日深夜(北京時間),有不少用戶發現自己幣安賬戶中持有的各種各樣的代幣、數字貨幣被市價即時幣幣交易成了 BTC。據網友反饋,被盜的賬號不在少數,不少人還以為是幣安系統錯誤導致的,還試圖從幣安客服那里得到解釋。當他們還沒有反應過來的時候,黑客已經開始了他們有組織、有預謀的行動。

黑客啟動了所有盜竊的賬戶的買賣引擎,買賣規則就是賣掉所有山寨幣,用市場價全倉購買VIA。而恰好黑客手里持有大量VIA,這樣就相當于高價購買了黑客手里的VIA。于是,VIA的K線出現了驚人的振幅:2分鐘內爆拉了110倍。從交易量和拉升價格來看,有大約1000個BTC的買單,把VIA的價格從0.000225btc拉到0.025,價格上漲大約110倍。

但是黑客的行動觸發了幣安的預警系統,黑客沒能直接提出高價賣出所得的比特幣。于是他們轉而以超低價格爆砸比特幣現貨的訂單列表,引起其他交易所期貨價格的連鎖反應。于是黑客預先埋伏的巨量空單獲得巨大收益。黑客的攻擊,已經去中心化了。

【數據溢出】

? ? ? 2018年4月22日中午(北京時間),BEC美蜜遭遇黑客的毀滅性攻擊,天量BEC從兩個地址轉出,引發了市場拋售潮。當日,BEC的價值幾乎歸零。