2018年3月20日,慢雾科技披露以太坊黑色情人节盗币事件,曝光长达两年之久的自动化盗币行为,其造成的损失达近5万多枚以太币及数量巨大的各类代币。

网络安全风险正从传统的信息安全扩展到涉及基础设施、经济社会等诸多层面。

Bitstamp

安全事件不断发生,交易所开始把币存储在两个钱包上:冷钱包和热钱包。冷钱包,即不联网的服务器,又称离线钱包。热钱包则用来存储足够的钱以满足用户的每日交易需求。2015年1月,Bitstamp热钱包里的19000个比特币被黑客通过钓鱼手段窃取。幸运的是,Bitstamp
90%的币都存储在冷钱包里,并没有受到影响。

图片 1

密码!密码!

单点防御就是“只见树木不见森林”,把大数据、人工智能、区块链等技术结合起来,才能“既见树木又见森林”

区块链的安全现状

被盗事件此起彼伏,仅2018年上半年就丢失了价值11亿美金的加密货币。尽管区块链不容易受到攻击,但其实智能合约,钱包和人为失误都有可能成为被盗的导火线。

还有一种被称之为“51%攻击”的破坏行为,即一个人掌握了51%以上的全网算力,创造区块的速度远远高于其他节点,最终控制整个网络。

专家指出SHA256加密算法复杂,但也并不是无法攻破。或许最致命的攻击尚未被我们发现。McAfee集团的管理人员曾经说过:

“这个行业太新了,我们现在都没有一个专门发现并报道技术缺陷的平台”。

图片 2

或许目前的权宜之计是只参与人数众多,透明度高的区块链项目,使用二次验证和硬钱包来保障资产安全。记住,资产安全无小事!

本文作者:Sirius Network

编译:行走的翻译C

Medium:@siriusnetwork

图片 3

除此之外,区块链自身存在的51%攻击,秘钥安全隐患等问题也都时有发生。

Bitfinex

这是继MtGox热钱包被盗后发生的第二大交易所被盗事件。讽刺的是,Bitfinex进行软件升级本是为了提高安全,却没想到软件内含有漏洞。Bitfinex当初使用的是BitGo提供的多签交易软件。时至今日,没人清楚黑客是怎么避开多个签名盗走币的。现在最主流的解释是Bitfinex服务器安装了不合适的软件。Bitfinex事件中,黑客盗走了12万个比特币,
当时价值7200万美元。

图片 4

根据 BCSEC 的统计数据,2018
年上半年区块链行业因智能合约漏洞而引发的经济损失高达11.6
亿美元,占区块链安全问题的 54.66%,成为区块链安全的头号重灾区。

关于区块链的安全问题,每一次事故都会有所警醒、有所改进。但这些警醒和改进都是暂时的,需要一个长期的、持续的安全管理机制来持久保证区块链长期安全。这也成为以360为代表的安全企业的莫大的机会。

Coinrail和Bithumb

2018年6月,韩国的两家交易所被攻击。Coinrail热钱包被盗5300个比特币。几周后,Bithumb热钱包丢失了价值3100万美金的加密货币。

图片 5

51%攻击绝不是天方夜谭。以比特币为例,随着金钱的腥味吸引了无数科技厂家入场,挖矿变成了职业玩家的战场,排名前三的矿场垄断了全网接近半的算力。在Crypto51的网站上,我们可以找到对各种数字货币发起51%攻击所需要的成本,对价值3.5亿美元的Bytecoin发动一个小时算力攻击,成本仅需要257美元,这些数字并没有想象中的遥不可及。

再比如BEC美链4月被黑客攻击事件。BEC的合约代码:BeautyChain
美蜜出现严重bug,可以通过合约的批量转账的功能,无限复制token。而类似美链这样的安全问题,有几十个基于以太坊ERC20的数字货币都有出现这样的问题

图片 6

根据估算,地球大约由1050个原子组成,而整个宇宙不过由1080个原子组成而已,猜中密钥的概率和猜测宇宙中的一个原子的概率相差无几。

对360而言,安全业务是区块链这场乱战之局的大龙,也是其守护网络安全环境义不容辞的责任。

MtGox

MtGOX是加密货币史上,最早、且是当时最大的交易所。2014年2月,这家交易所遭受了最严重的黑客攻击。MtGOX最初是万智牌玩家(Magic:
The Gathering
Online)用来交换卡牌的网站,于2010年转型为交易所。2010年7月份该网站的开发者在Slashdot上看到加密货币的介绍后,重写了网站代码,并把该网站卖给了居住在日本的开发者Mark
Karpeles。 到了2014年,一家独大的MtGox占据了全球70%的比特币交易量。

2014年2月7日,MtGox声称其安全软件中存在漏洞,紧急暂停了所有交易。两周后,交易所申请破产,网站突然消失。用户共损失了85万比特币,当时价值高达4.7亿美金。这一事件导致投资者信心受挫,比特币价格暴跌36%。

图片 7

很多人都质疑Mark
Karpeles监守自盗。2015年,Mark在日本因诈骗,挪用公款和操纵用户余额等罪名被捕。但是这并不能证明他跟交易所被盗有直接联系。2017年希腊一家交易所的经营人因洗钱罪被捕,其涉及资产竟包括在MtGox事件中丢失的币。

有分析师曾表示,MtGox交易所是比特币世界的一颗定时炸弹,用户在其平台上交易无益于自杀式行为。

在区块链的世界里,每一个人的身份都不过是一段数字,密码学上称之为密钥,一旦有人获取了你的密钥,他就可以冒充你的身份从事任何事情,包括花光你的每一分钱。

实际上就是The DAO的智能合约出了BUG,用户可以不断从The
DAO的资产池中获取DAO资产

Poloniex

2014年3月份,黑客攻破了Poloniex的服务器。那时,这家交易所才营业2个月。Poloniex的创始人Tristan
D’Agosta解释道黑客发现他们的提现系统在遇到多个同步请求后,就可以允许“透支”行为。交易所在发现了这一异常操作后,关闭了进入受影响账户的通道。但是
12.3%的总资产已经被盗了。Poloniex的处理方式是:暂时把每个用户余额里的资产都扣除12.3%,后续再恢复他们的账户余额。Poloniex最终活了下来,并在2018年被收购。

图片 8

2016年6月,攻击者利用区块链业界此前最大的众筹项目TheDAO智能合约中splitDAO函数的一个漏洞,将资金从The
DAO项⽬的资产池中源源不断地分离出来,转移到自己的子DAO中,在短短的三个小时内,300多万以太币被转出The
DAO 资产池,以太坊也因为这件事故被迫分叉。


5月25日,360公司Vulcan团队发现了区块链平台EOS的一系列高危安全漏洞,部分漏洞可以远程控制和接管EOS上运行的所有节点,完全控制虚拟货币交易。360安全大脑“史诗级漏洞”的发现,帮助EOS避免了百亿美金的损失


5月29日,360与币安、北京欧链科技有限公司(OracleChain)达成安全方面的深度合作,为其提供一系列智能合约项目的代码审计,且在项目方代码升级后持续提供安全审计服务。


6月28日,360集团与雄安新区签署战略合作,将充分发挥360在网络安全、大数据、人工智能、区块链等技术领域的优势,为建设安全可靠的“数字雄安”提供全面的网络安全服务。

DAO

基于以太坊网络发行的加密货币运行方式跟比特币不同,但同样都是黑客攻击的对象。以太坊区块链环境有别于其他数值货币。ETH是通过电脑代码,即智能合约交易的。所谓智能合约即设置好要求,一旦满足设定条件就会自动执行。以太坊全网有6000台电脑,因此网络难以被修改或被控制。以太坊架构支持去中心化自治组织DAO,把规则和决策通过代码的形式写进区块链之中,允许智能合约在不受人为监控的条件下自动执行。

2016年4月, Genesis
DAO创造了一个投资者可以给项目投票的社区,获得20%以上支持的项目可获得资金支持。DAO在以太坊上融到了2.5亿美金。6月份,黑客发现了一个支持单一币种多次提现的漏洞,而智能合约更新的速度比不上提现的速度。短短几个小时内,DAO
里面30%的ETH都被转移了。盗窃事件被公开后,Genesis DAO
执行了硬分叉,创造出了一条新的区块链。但是这次分叉受到了社区部分持币者的反对,他们认为篡改时间戳就是在稀释其他人手上以太坊的价值。之后,社区发起投票,89%的人支持硬分叉。反对者从社区分离出去,重组了原链,改名Ethereum
Classic。

如果需要升级智能合约,就要把当前的智能合约进行快照,然后在部署新的智能合约之后把旧合约的快照转移到新合约,这个过程会影响用户对于项目的信心。在发现漏洞之时,究竟是壮士断腕部署新的合约,还是置之不理希望能一直隐瞒下去,是每一个项目开发者将会面临的两难选择。

又比如今年1月日本最大比特币交易所之一的Coincheck新经币被非法转移至其他交易所事件。

Parity (2017年7月和11月)

Ethereum也曾因多签系统存在问题而被攻击。2017年7月17日,有黑客攻击了Parity多签钱包。这次攻击是针对三家刚刚完成ICO的区块链公司。黑客共窃取了153037个比特币,
当时价值3200万美金。随后,白帽子黑客将其他ICO项目中的资金转移到了安全地址,才得以止损。Parity解释称这次被盗是因为Parity钱包版本的智能合约代码存在漏洞,并于7月20日发布了补丁。

糟糕的是,这个补丁解决了智能合约的问题,但也存在其他缺陷。Parity在其智能合约代码里新增了一个“kill”功能。该功能允许用户永久锁定Parity钱包。Parity开发者没有将这一代码更新到所有的用户钱包中,而是选择跟一个中心化library进行函数调用。11月6号,一位名叫
“devops199”
的用户意外锁死了library,并永久锁死了所有跟library相连的钱包。当时受影响的587个钱包里共包含513774个以太坊。

图片 9

以太坊社区再次面临抉择。这次又要通过硬分叉的方式来恢复被锁定的587个钱包吗?4月份,Parity发起投票,55%的人反对硬分叉。丢失的币也就丢失了。

区块链系统的安全性并不单取决于区块链算法本身,从代码实现到合约逻辑,再到配套设施,当区块链技术从白皮书中走出来,落地生根成为现实中的技术时,要面临的问题就多得多。而根据木桶理论,一只木桶能盛多少水,并不取决于最长的那块木板,而是取决于最短的那块木板。

The DAO之所以被攻击,也是由于它编写的智能合约存在着重大缺陷。The
DAO编写的智能合约中有一个splitDAO函数,攻击者通过此函数中的漏洞重复利用自己的DAO资产来不断从TheDAO项目的资产池中分离DAO资产给自己。

AllinVain盗窃事件

2011年6月,一个化名叫AllinVain的黑客获取了一家矿场的硬盘,转走了25000个比特币到外部钱包。这笔钱至今下落不明。这种操作手法就好比黑客从电脑里把银行账户里的资金全部转走。这是第一次有媒体报道加密货币被盗事件,在当时引起了重大反响。

图片 10

当我们谈论“区块链安全”的时候,我们到底在谈论什么?

C端用户的安全问题上,360也有推进——360安全卫士发布区块链防火墙功能,用于解决在用户使用数字货币等区块链相关的产品时,遇到的剪贴板被篡改、数字货币钱包被攻击、账户密码被窃取等安全问题。

Coincheck

Coincheck是一家日本交易所。2018年1月份,这家交易所被盗了5亿个NEM币。黑客把币从钱包转移出来后立即把NEM换成了其他币。这次损失高达5.3亿美金,超过MtGox在2014年的损失。

图片 11(通证丢失后对公众道歉的Coinoincheck原CEO)

Code is
Law,和传统软件开发中的迭代更新不同,为了保证代码的可信性,以太坊中的合约一旦部署就再没有修改的可能。我们当然不能期智能合约一旦发布就可以完美无瑕地运行下去,一行有缺陷的代码可能就会将整个合约推向万劫不复之地。

在目前已上线的360区块链安全平台上,360对外提供钱包、矿池、交易所、智能合约和EOS超级节点等安全解决方案,几乎涵盖了区块链生态中所有业务。

Bitcoinica

作为一家老牌交易所,Bitcoinica在2012年被攻击了两次,分别是在3月份和5月份。由于交易所网络服务器安全措施不到位,黑客获取了用户数据和密钥,盗窃走了61000个比特币,最终导致Bitcoinica破产。

如果算法的实现不出纰漏的话,即便是最有效的攻击方法,其难度依然是指数级的。

360的区块链探索,再次展现了自身在安全领域的实力,也一举奠定其在区块链安全领域的领导地位。

当然,这些黑客事件并不是针对区块链技术本身的,而是利用加密货币服务商,如钱包、交易所的安全漏洞来窃取资金。下面让我们来总结下区块链历史上交易所和钱包的被盗事件吧!

发表评论

电子邮件地址不会被公开。 必填项已用*标注

网站地图xml地图