EOS将被大规模黑客攻击?此话怎讲!

BTC123门户 · · 113 次点击 · · 开始浏览    
这是一个创建于 的文章,其中的信息可能已经有所发展或是发生改变。

EOS自启动漏洞赏金计划以来,上半年赏金已超10万美元。

据IMEOS消息,近日,区块链安全公司PeckShield发现部分EOS用户的秘钥存在严重的安全隐患,部分秘钥允许用强度较弱的助记词,很容易存在“彩虹”攻击,并引发账户数字资产被盗。

其实自今年5月以来,EOS就屡遭负面新闻缠身。“史诗级”漏洞、百万私钥被盗、主网瘫痪……安全问题似乎已经成为了EOS很大的硬伤。

对于这个1年募资40亿美金的明星项目,支持者认为它开启了区块链3.0时代,反对者将其视为史上最大的空气币、传销币,存在严重的安全隐患。

更有区块链研究员预言,明年将会有一场大规模利用EOS漏洞的黑客攻击。“考虑到开发人员处理关键安全问题的方式,这一攻击的出现将很可能是不可避免的。”

攻击必将到来,而且不可避免?

EOS安全事件频发的根源究竟是什么?其主要隐患盘点如下,涉及开发语言、安全审计、共识机制、创始人和市场营销5个方面:

开发语言缺乏防护

受安全问题影响,EOS超级节点竞选推进缓慢。

竞选期间,荷兰黑客因发现EOS的9个漏洞,获9万美元奖金,而百万私钥被盗的丑闻再度为EOS蒙上了一层阴影。

直到北京时间6月15日凌晨1点50分,在最终达到15%的投票率以后,EOS主网才正式被激活。但过了不足48个小时,EOS再现严重故障,暂停出块,修复时间持续近5个小时。

基于EOS“打地鼠式”的漏洞修复模式,康奈尔大学区块链研究员EminGünSirer在Twitter中直接开炮:明年将会有一场大规模利用EOS漏洞的黑客攻击。

这一预言能否从应验我们不得而知,但部分专家认为,EOS的开发语言或许早已为黑客攻击埋下了伏笔。

在接受财经网采访时,星云链联合创始人兼CTO钟馥百表示,EOS的开发语言是C/C++,而不是以太坊等其它公链所采用的安全性较好的Golang语言。该开发语言的最大优势就是易操作,例如可以直接操作机器和内存,能嵌入汇编代码,抽象度低,性能较高,但最大的问题是缺乏安全防护设计,使其开发的程序存在显著的安全隐患,容易造成缓冲区溢出攻击、非法指令等问题。

这与火币区块链研究院的观点不谋而合。在360爆出EOS“史诗级”漏洞后,该研究院发文称,C++允许程序员通过指针等方式进行极为自主的控制及使用,并不强制检查数组边界等条件。但也正是因为这种灵活性,C/C++程序常会因为内存管理的复杂性而出现内存泄露、宕机或内存越界等问题,造成缓冲区溢出攻击,这在大型工程上尤其常见。

文章还指出,早在1988年就存在利用缓冲区溢出进行攻击的行为。据估计,它一经出现便影响了互联网上10%的计算机,造成约10万至100万美元的损失。此后30年间,很多著名的攻击事件都采取了缓冲区溢出的方式。

结合360公布的EOS漏洞,如果能将风险控制在单机范围内,那对全局来说影响还是相对可接受的。但正是由于恶意代码可以是一个区块链上的合约,因此EOS将合约打包成区块后会在整个网络中传播,使得所有节点均可被此恶意代码控制,整个网络都将受到致命影响。

安全审计相对滞后

如果说开发语言暗藏隐患,那么EOS在主网上线前未公开披露安全审计结果,似乎将其对安全问题的无视直接摆到了台面。

据技术开发领域专家介绍,在业内像微软等科技巨头都会在代码开发完成后进行安全审计,这实际上已经成为了一种“惯例”,Ethereum、Nebulas等公链项目都曾在主网上线前开展了此项工作。

如果从结果导向看,360之所以能够爆出“史诗级”漏洞,或许正是EOS没有做安全审计的结果。而EOS宣布上线后才开始让各社区进行安全审计,进一步印证了这一猜测。

在星云链联合创始人兼CTO钟馥百看来,这是不负责任的行为,因为业内通行的做法都是上线前做安全审计,这是对持币人负责。EOS全面上线后才开始检查漏洞和问题,等于把风险直接暴露,让持币人承担所有的风险和后果。?

360核心安全事业部安全研究员彭峙酿告诉记者,就目前Github上EOS漏洞修复情况和进度来看,可以推测EOS项目开发前期缺乏有效的安全开发生命周期管理,在安全风险评估、攻击面减约、代码审计和安全测试等方面前期准备都不足。

在复盘EOS安全事件时,火币区块链研究院指出,这些问题完全可以通过有效的代码安全审查机制来避免。区块链作为一个分布式的去中心化系统,代码一旦部署将很难更新,需通过硬分叉或者软分叉来对代码进行升级,成本不可谓不高,所以在项目发布之前,充足的测试和代码审核变得十分关键和必要。

DPOS机制易遭攻击

EOS引以为傲的DPOS共识机制同样饱受逅病。

众所周知,比特币平均每秒交易7笔,以太坊平均每秒交易35笔,而EOS意在打造区块链行业的操作系统,通过并行计算实现百万级TPS。

支撑这一效果的是共识机制的改变。不同于POW(工作量证明)和POS(权益证明),EOS采用DPOS,它类似于代理人权益证明共识算法,设21个“超级节点”验证交易,这些节点由全链根据一币一票投票产生。

如此一来,EOS的交易速度提升了,也减少了很多挖矿能耗,但这一创新性的设计却引来了不少非议。

外界普遍认为,EOS的21个超级节点很容易被黑掉,存在两方面的安全隐患:一是内部作恶,21个节点存在共谋可能;二是EOS暴露了21个超级节点,似乎更易遭到外部攻击,一旦21个超级节点被控制,就等于控制住了EOS,这与区块链所追求的去中心化和安全性似乎是相违背的。

此外,EOS在抵抗世界各地的审查方面也会存在问题,比如因为节点相对集中,一旦被个别国家政府要求关闭,必将面临较大风险。

早在EOS主网上线前,BM曾发推特展示DPOS比比特币、以太坊更具去中心化优势,但随即遭到以太坊创始人V神回怼。V神认为21个超级节点并不是21个不同实体,节点之间可能存在内在联系的共谋。

中关村区块链产业联盟秘书长朱佩江认为,相对于POW(工作量证明法)和POS(权益证明法)两种共识机制,DPOS在设计上确实会让攻击者更容易攻击。但他同时表示,21个节点的设置仍然是在保持多节点的优势,被一家掌控的可能性低,节点作恶仍然可以通过投票指认出来。

结合近期发现的EOS安全问题,360核心安全事业部安全研究员彭峙酿称,这大多数是软件实现上的漏洞,是所有软件项目都会面临的问题,并非EOS独有,也非公链项目独有,与DPOS机制无关,也并非区块链技术本身的缺陷。不过,由于公链项目通常与数字货币挂钩,一旦出现安全问题可能会造成很严重的后果,比如网络崩溃、用户资产损失、密钥泄露、节点被控制等。

创始人BM不懂安全

所有安全问题的根源,始终绕不过创始人BM。

EOS是BM发起的第三个项目。这位毕业于佛吉尼亚大学计算机系的IT男,曾成功开发了BTS和Steemit两个市值进入TOP30的区块链项目。除此之外,他还是DPOS(权益股份制证明)共识算法的创建者,也是自治化组织DAO的创建者。

在那副广为流传的区块链扑克牌中,黑桃A代表的正是BM,足见其江湖地位

然而,结合BM在EOS安全问题上的表现,部分业内人士认为这位“技术大神”并不懂网络安全。

5月29日,360爆出EOS存在“史诗级”漏洞,可完全控制虚拟货币交易。BM随后在电报群中发布消息,称将奖励发现并提交Bug的人,“提供有价值的漏洞会获得1万美金的报酬”。

对于360报告中提到的漏洞,他表示早已修复,且早于报告发布时间,而360的行为是在制造恐慌,对于任何挑起市场恐慌的行为将取消其奖励资格。有专家认为,这种态度这是不敢正视问题,对技术极度不尊重。

Dfund创始人赵东直接在朋友圈开怼:“不管360什么目的(我们不要怀疑别人做事的动机),我至少确定一点:根据GIthub代码提交时间可知,BUG修复在360向BM汇报BUG之后而非之前。BM在睁着眼睛说瞎话,人品极其不可靠。”

据FN资讯7月11日报道,EOS自启动漏洞赏金计划以来,上半年赏金超10万美元。黑客Guido Vranken最近通过发现EOS协议中的漏洞赚取了12万美元,但对于Vranken团队披露的系统中的其它错误,EOS仍未将其公开。“EOS似乎存在一些很严重的漏洞,并缺少全职的安全团队。”

北京知道创宇创始人、著名安全专家赵伟在接受媒体采访时表示,自己与团队在BM的沟通中发现,BM会混淆一些安全基础性的概念,其本人在安全技术领域并不专业。

持相同观点的还有360安全人员。在接受采访时,安全人员透露,在团队提交漏洞并跟BM沟通时,会发现他基本上不懂安全,对安全的认知比较差。

过度包装暗藏风险

至于EOS募资的疯狂程度,或许连BM也始料未及。

产品尚未正式上线,却在一年内疯狂拦金40亿美元,这与EOS的过度包装和炒作不无关系。除了被冠以“区块链3.0”的名号外,资本大鳄、交易所巨头、温州炒房团、矿场土豪等争相竞选超级节点,也让EOS赚足了眼球。

但如此大规模的募资究竟流向何处?伴随市场疑惑的此消彼长,躲在暗处的“危险分子”或许觊觎已久。

专注于区块链项目投资的大河资本合伙人李荣阁表示,EOS之所以频频爆发安全问题,除了项目本身采用了很多创新的实现方案,以及公链项目要公开代码的原因外,也与项目强大的社区运营能力和宣传造势相关。

在他看来,EOS没有上线就能取得大量投资人的认可,得到超高的市值,必然会引起各方面的关注,其中也包括安全专家和黑客,因此系统更容易被爆出各种漏洞。

他同时强调,早期项目的开发进度应该与知名度互相匹配,这对项目团队来说更容易形成一个良性的外部环境,如果社会关注度过高,很容易形成“伤仲永”的后果。

值得注意的是,EOS社区负责人ThomasCox在主网瘫痪后的发言也验证了其关注度过高。他表示,任何软件都有漏洞,BP和工程师修复主网并使它重新上线预示着未来会非常好,比特币和以太坊初始阶段,由于没有人用,所以没有人理会它们的漏洞。

虽然有以上种种硬伤,但并非无药可治。据了解,目前来自世界各地的白帽黑客还在持续为EOS报告漏洞和提交修复建议。

没被意识到的漏洞是可怕的,被意识到后,漏洞的威力将会大大降低。EOS团队如果从此刻起,能更加重视安全问题并不断增加投入,完全可以将各种隐患扼杀在爆发前夕。

不得不承认的是,安全性问题是目前整个区块链领域的短板,并非EOS独有,随着各界的关注,随着行业整体安全水平的提升,EOS的安全性能也必将水涨船高。

我们愿意相信,未来发生大规模利用EOS漏洞的黑客攻击,概率将会逐渐降低。

本文来自:简书

感谢作者:BTC123门户

查看原文:EOS将被大规模黑客攻击?此话怎讲!

113 次点击  
加入收藏 微博
暂无回复
添加一条新回复 (您需要 登录 后才能回复 没有账号 ?)
  • 请尽量让自己的回复能够对别人有帮助
  • 支持 Markdown 格式, **粗体**、~~删除线~~、`单行代码`
  • 支持 @ 本站用户;支持表情(输入 : 提示),见 Emoji cheat sheet
  • 图片支持拖拽、截图粘贴等方式上传