针对区块链安全问题,Beosin团队每一周都将出智能合约安全漏洞解析连载,希望能帮助程序员写出更加安全牢固的合约,防患于未然。引子:“道高一尺,魔高一丈,愈进愈阻,永无止息。”——清·谭嗣同《仁学》四三前情提要
上回说到,官方标准用心良苦,编写合规不容小觑。我们用十五期内容结束了对以太坊智能合约常规漏洞、高危漏洞的分析和总结。纵观整个以太坊安全生态发展历史,有太多的教训和痛楚值得我们铭记。有相关统计,区块链产业导致财产损失的安全事件中有30%是由智能合约漏洞引起的。所以按照以太坊开发语言的使用规范,正确书写每一行合约代码,是保障合约安全的基本要求。倡导上链前的合约审计,确保项目安全启航,是我们对开发者和项目方真诚建议。本期话题
EOS游戏屡遭手,随机数漏洞屡禁不绝。除了以太坊,EOS也是目前比较流行的区块链平台。EOS同样是基于智能合约和区块链搭建而成,而在游戏和DApp领域,由于没有交易费和处理能力强等特性,EOS在技术和设计理念上占有先天的优势。但是,无独有偶,EOS智能合约的安全问题也层出不穷。本期我们就借用最近发生的EOS游戏被攻击事件展开对EOS智能合约漏洞的分析。攻击事件历史
区块链低代码开发平台提供商Morpheus Labs与腾讯云签署谅解备忘录:7月22日消息,区块链低代码开发平台提供商Morpheus Labs宣布与腾讯云签署谅解备忘录,旨在推动Web3游戏和元宇宙创新,促进Web3生态系统的发展。据该谅解备忘录,腾讯云和Morpheus Labs的合作将涵盖数字技术、区块链和Web3相关解决方案开发,并将共同构建一个快速、安全且可扩展的综合开发环境。双方主要关注亚太地区,寻求为游戏和区块链其他垂直领域的老牌和新兴公司提供服务,以加速各自市场增长。[2023/7/22 15:52:22]
EOSDice第一次被攻击2018年11月4日上午3:15开始EOSDice合约被账户jk2uslllkjfd攻击,攻击者盗取了2500左右EOS并充值入火币。EOSDice第二次被攻击:11月10日上午11:19开始,coinbasewa11账户再次攻击了EOSDice游戏,盗取4900EOS转入bitfinex交易所,这个账户对游戏合约进行了95次攻击,攻击过程可以检索到。随机数生成问题
声音 | 证券日报:多地发力推动区块链技术创新,产业布局各有侧重:12月5日,证券日报刊文“多地发力推动区块链技术创新,产业布局各有侧重”。文章表示,根据公开信息不完全梳理,近期河北、浙江等地提出多项举措推动区块链技术应用,重点领域包括电子商务、智慧医疗等。12月3日,河北省省长许勤指出,要推动产业创新发展,推进区块链与人工智能、大数据、物联网等信息技术深度融合,完善信息技术产业链;推进区块链与实体经济深度融合,促进在电子商务、政务服务、智慧医疗、信用体系建设、农产品安全追溯等领域的应用。此前,还有多地也在布局区块链技术创新。11月8日,重庆市委常委会召开会议。会议指出,要探索“区块链+”在民生领域的运用,加快建设新型智慧城市,为人民群众提供更加智能、更加便捷、更加优质的公共服务。11月11日,浙江省委理论学习中心组举行专题学习会。浙江省委书记车俊强调,要把区块链作为核心技术创新的重要突破口,努力做到“四个走在前列。今年10月30日,央行上海总部公布《关于促进金融科技发展 支持上海建设金融科技中心的指导意见》。《指导意见》多次提到“区块链”,例如其中提到,鼓励金融机构创新思维与经营理念、顺应智能发展态势,借助云计算、区块链、人工智能、生物识别等技术,依托金融大数据平台,找准突破口和主攻方向,在智慧网点、智能客服、智能投顾、智能风控等金融产品和服务方面进行创新。[2019/12/5]
我们在第六期游戏合约漏洞提到过,截止至目前,以太坊和EOS官方均未提供随机数接口,这对游戏开发确实是一个不利的影响,比如抽奖模块的开发。为了实现类似的功能,游戏开发者需要自己编写随机数生成函数,这些函数往往利用区块信息作为参数,然后进行一系列运算,获得一个“随机数”。但是,由于使用区块信息作为参数,这将导致在同一个区块上,使用相同算法的随机数函数将会得到相同的值,攻击者可以利用这点,部署中间合约,然后不停的尝试生成随机数,当生成满意的随机数时,再利用中间合约参与游戏,影响游戏的公平性。我们把这类随机数问题统称为“伪随机数漏洞”。EOSDice伪随机数漏洞分析
动态 | EOSBet成为第一个获得许可的区块链:据cryptovest消息,近日,EOSBet宣布已成功获得世界上最古老的在线监管机构之一Cura?aoeGaming的认证。这个位于加勒比海岛屿的监管机构是仅有的4家Cura?aon公司之一,这些公司将获得州司法部颁发的主许可证,该许可证授予库拉索岛电子游戏独家授权以对其他平台进行分许可。[2018/12/1]
由于EOSDice在第一次被攻击后提高了警惕,并且修改了随机数生成的算法,所以我们分两次进行分析。第一次攻击分析:由于EOSDice合约开源,我们主要看一下该合约的random函数,该合约抄袭了另一个EOS合约的random函数实现。该随机函数中使用的随机因子主要为:1.tapos_block_prefix()该交易refer区块信息2.tapos_block_num()该交易refer区块信息3.name(user账户名)4.game_id5.current_time()6.pool_ol_eos.amount其随机性主要依赖于refer区块(referblock)信息及当前时间、合约余额信息。在该游戏中,开奖时间是可以根据delay时间推算得到,余额信息在只有一个用户访问时也可以根据计算得到;那么唯一不确定的因子只剩下referblock的信息了。在实际游戏执行逻辑中开奖的revealaction是由下注的action衍生出来的deferredaction,该action的referblock信息并不是由用户指定的,而是由eos链来指定的,代码详见:https://github.com/EOSIO/eos/blob/master/libraries/chain/apply_context.cpp#L251经过实际测试,deferredaction的referblock信息为执行当前action的前一个区块信息,示意如下图:所以,其实开奖时的使用的tapos_block_prefix()其实在下注前就已经产生,那么再结合对时间和余额的预测,就可以提前预测开奖结果;根据交易情况分析,eosdice第一次被攻击很可能就是使用的此种攻击方式。第二次攻击分析:这里要先介绍一个EOS的小知识:当EOS转账时,EOSIO.Token会同时通知到from和to账户,但是是先执行对from账户的通知,如下图所示:EOS在第一次攻击事件发生后,修改了随机数生成算法,我们来看一下修改后的随机数是否真的随机。随机数计算公式如图所示:利用上面提到的转账通知知识,游戏合约收到向自己的转账通知时开始执行下注逻辑,触发deferredaction:reveal1,reveal1触发deferredaction:reveal进行开奖发奖;那么在开奖时取的referblock信息是下注转账action所在的区块信息,不可以预测;但是在EOSDice对随机函数random进行了修改后,这个函数还使用到了账户余额这个随机因子。攻击者可以在转账后自己也接收EOS转账通知,并且自己模拟出跟EOSDice相同的deferedaction:defered2,然后defered2触发deferedaction:defered;经此一番操作,此时攻击者的defered和游戏合约的reveal是处在同一个区块中运行。那么就可以在defered中通过修改随机因子中的余额amount计算random(amount+x)的值,使其满足自己的下注条件。需要注意的是,计算这个值需要进行碰撞试验才能猜准。攻击者随后向随机因子账户中转入amount为x的eos;那么当运行到reveal开奖的时候,就可以使自己必定中奖。整个攻击流程可以总结为下面这个图:加上之前经过对攻击交易分析,可以确定此次攻击者利用的攻击方式是控制随机因子中的余额;漏洞修复
声音 | David Haimes :甲骨文区块链开始在物联网和手机上布局:甲骨文ERP云发展的高级总监David Haimes在接受采访时表示,大企业和公司对加密货币、公有链不太感兴趣,因为匿名性意味着太多不可控的事情,知名公司倾向于避免“冒险”。用户生态,无币区块链并不孤单,行业未来,技术和思路都应“开源”,甲骨文区块链还在物联网和手机上开始布局。[2018/11/13]
使用与tapos_block_num类似的参数都可能会引发伪随机数漏洞,包括EOS余额和head_block_id,这些参数的特点就是具有一定可控性。如果非要使用tapos_block_preifx作为随机数因子,可以在开奖reveal执行之前多执行一次deferedaction跳转,保证开奖时获取到的block信息在下注之后生成,这样tapos_block_prefix才是不可预测的。伪随机,真漏洞
EOS与以太坊采用了不同的技术和设计理念,比如:1.以太坊被设计为对于所有可能建立在其基础上的应用中立的平台,而EOS则提供了一些功能例如加密的实现和区块链工具的应用,对应用开发者比较友好。2.两者的共识机制不同,相较于以太坊采用的PoW,EOS的DPoS机制类似于董事会机制。3.以太坊受到CPU单线程性能限制,其网络交易速度大约只有10次/秒,而且每次交易还需要提供手续费。EOS的并行技术解决了交易速度的问题,并且移除了手续费。EOS的特性,尤其是第三点特性决定了在其基础上的游戏能够满足延迟低,交互流畅的需求,同时能够处理商业级的应用需求。这也是EOS在游戏方面应用较多的原因。但是与以太坊一样,EOS官方并没有提供相应的随机数生成功能。以太坊官方已经推荐用户使用链外的Oraclize库生成随机数。EOS的随机数问题依然是一个令开发者头疼的问题,11月还未结束,EOSDApp已经出现了三次针对随机数的漏洞攻击事件,说明在随机数问题的解决上,亟需一个可靠的解决方案。希望广大DApp开发者在目前没有可靠方案的时候,依靠现有的经验和安全审计,做到将合约内的“伪”随机修复为“真”随机,让EOSDApp有趣、公平、可靠。引用::EOS与以太坊有哪些区别:https://blog.csdn.net/qq_42204339/article/details/80463686:玩EOS上掷骰子的游戏:https://www.jianshu.com/p/b72c71cd3614:游戏skr而止,漏洞周而复始|成都链安漏洞分析连载第六期——游戏合约漏洞全面汇总:https://mp.weixin.qq.com/s/e7m79tk_7jMI_3jlVRMVpQ
现场 |王旭:区块链行业发展需要从业者更加自律:金色财经现场报道,在今日西安举办的区块链落地应用私享会上,GoodchainCMO王旭演讲中提到,区块链技术本身具有革命性,其技术特性在金融领域的运用尤为突出,能够实现交易数上链,保障金融领域的数据安全,确保在金融市场当中交易的公平、公正。然而,如今区块链市场乱象丛生,从业者必须做到自律,才能有效的加强区块链技术创新、应用创新、应用落地,区块链才能得以发展。Goodchain技术团队依靠区块链金融衍生品板块创新,希望推动区块链市场正向发展,并呼吁从业者拥抱监管。[2018/8/24]
标签:BCH比特币BLOBLOCSBCH比特币糖果是什么意思BlocktixThe Whale of Blockchain
牛市遥遥无期,在漫长的熊市中「稳定币」如雨后春笋般大爆发,越来越多的人开始选择稳定币来降低风险。也许,稳定币是加密货币走向主流,真正实现支付功能的重要因素.
前不久,猎豹区块链中心盘点了9、10月的区块链安全事件,在9月和10月,黑客的攻击主要集中在EOS和交易所.
本文作者:江卓尔,原地址:https://www.weibo.com/ttarticle/p/show?id=2309404304309541068773&mod=zwenzhang一、.
本文来自:链捕手,作者:周畅,编辑:李曌,星球日报经授权转发。当前,区块链行业已经出现一大批在社会具有相当知名度但不具有真才实学、热衷于投机取巧的「网红」,他们对区块链以及数字货币所知甚少,但在.
昨日,澳本聪发推特说,2019年我们将开始教人们如何构建真正的SPV系统。语气一如既往的自信。而BTCABC这边的“新闻发言人”江卓尔则在微博回应网友,BCH是最好的比特币.
12月13日,据外媒TheBlock援引知情人士报道,稳定币项目Basis遇到了监管阻力,决定停止运营,正在向投资者退回之前获得的投资资金.