据blog.ethereum消息，由于以太坊改进提案被发现重大安全漏洞，原定于在第7080000个区块上进行的君士坦丁堡硬分叉被推迟。WeekinEthereum创始人EvanVanNess表示，新的硬分叉日期将在周五的下一次核心开发者电话会议期间确定。以太坊核心开发者AfriSchoedon则在Twitter上表示，硬分叉将于下周一举行。漏洞发生了怎么办？
关于EIP1283漏洞处理，以太坊官方也通过博客表示，推迟君士坦丁堡硬分叉，即不在第7080000个区块上分叉，并且发布了相关处理办法：对于已经升级同步的节点、矿工、交易所，需要在Geth或Parity新版本发布后及时更新版本，新版本预计在博客发布的3～4个小时内发布。具体的方案如下所示：Geth版本：升级到Geth1.8.21；降级至Geth1.8.19；如果想保持在Geth1.8.20，请使用开关'-override.constantinople=9999999'无限期推迟君士坦丁堡分叉；Parity版本：推荐升级到ParityEthereum2.2.7-stable或ParityEthereum2.3.0-beta；不推荐降级至ParityEthereum2.2.4-beta。对于未同步升级的节点、钱包以及代币持有者，现在不需要进行任何操作。对于合约所有者，现在可以检查一下合约是否还存在其他潜在的漏洞，但请不用担心，因为有着漏洞的EIP1283不会被启用。漏洞是什么？
The Block新闻负责人：OpenSea未出现漏洞，黑客利用钓鱼邮件发起攻击:2月20日消息，据The Block新闻负责人 Frank Chaparro 转发 Cyphr.ETH 推文称，黑客使用了标准网络钓鱼电子邮件复制了几天前发生的正版 OpenSea电子邮件，然后让一些用户使用 WyvernExchange 签署权限。OpenSea 未出现漏洞，只是人们没有像往常一样阅读签名权限。
今日有消息称，多位用户发现 OpenSea 昨日推出的新迁移合约疑似出现 Bug，攻击者正利用该 Bug 窃取大量 NFT 并卖出套利，失窃 NFT 涵盖 BAYC、BAKC、MAYC、Azuki、Cool Cats、Doodles、Mfers 等多种高价值系列。
OpenSea 官方随后作出回应，「我们正在积极调查与 OpenSea 智能合同有关的传闻。这看起来像是来自 OpenSea 网站外部的网络钓鱼攻击。不要点击opensea.io 之外的任何链接。[2022/2/20 10:03:29]
北京时间今天零点，智能合约审计公司ChainSecurity发布了一份报告，报告指出以太坊君士坦丁堡代码存在漏洞，该漏洞可能导致“重入攻击”——攻击相关合约、修改用户余额或其他关键变量。为什么会产生重入攻击？ChainSecurity认为，在分叉前一个存储至少需要5000gas，远远超过使用“transfer”或“send”调用合约时发送的2300gas；而在分叉后，一个存储只需要200gas，攻击者可以通过调用一些公共函数，更改所需变量。比如攻击者可以调用攻击者合约，只需要花费2300gas就可以成功地更改弱势合约的变量，包括账户余额等。当然，攻击要想成功需要一些条件：必须有一个函数a，在该函数中，“transfer/send”后面紧跟着一个状态更改操作，这有时是不明显的；攻击者必须有一个能够访问函数A改变状态的函数B，B状态改变会与函数A发生冲突；函数B需要在小于1600gas的情况下执行(2300气费-700气话费)。ChainSecurity提醒大家，可以从检查以下几个方面避免合约被攻击：检查transfer事件后是否有任何操作。检查这些操作是否改变了存储状态，最常见的是通过分配一些存储变量，检查哪些变量已被修改，做一个列表。检查合约中，非管理员可以访问的任何其他方法是否使用这些变量之一；检查这些方法本身是否自行改变存储状态；检查是否低于2300gas，同时记住SSTORE操作可能只有200gas。漏洞重演何时休？
Liquid Network技术出现漏洞 可致上百万美元BTC被盗:Summa One联合创始人James Prestwich发现Blockstream的比特币侧链 Liquid Network 中至今仍存在技术漏洞，由于哈希时间锁不一致，网络中的重要账户会受到技术漏洞影响，可导致上百万美元BTC被盗。只要3位密钥持有者中的2位同意转账，公司员工即可通过紧急恢复程序进行提币。Blockstream已经开始寻找新的替代方式并进行开发。据官方表示，过去18个月内，尚未出现用户账号被盗迹象。[2020/6/30]
这次EIP1283出现的重入攻击，在以太坊的发展史上曾出现多次，属于顽疾。“其实这个攻击方式，在以太坊上早就是赫赫有名了，我不相信以太坊社区没有考虑到这个问题。”以太坊研究者胡靖宇告诉Odaily星球日报。重入攻击影响最大是TheDAO合约漏洞事件。当时黑客利用TheDAO合约漏洞，转移了价值4千多万美元以太币。为了夺回资金，以太坊社区决定进行软分叉与硬分叉，结果社区内部产生分歧，一部分选择留在原链，一部分选择了进入新的分叉链。根据胡靖宇所说，以太坊智能合约为了方便一些逻辑操作，留下了“transfer()和send()”这样一种调用方式，但也给开发者留下了安全隐患。“但是只要开发者知道有这样一个安全隐患，在写代码的时候多判断一下逻辑就可以保证安全性了。”至于下周一会不会进行硬分叉升级，胡靖宇表示硬分叉升级具体的时间点应该是未定的，因为官方目前还没有评估到具体的风险以及制定解决方案。
声音 | MakerDAO中国区负责人：Maker系统没有出现漏洞，所有资金安全:12月9日，一名独立软件开发人员披露MakerDAO存在安全漏洞可导致价值3亿美元抵押ETH被清空。对此，MakerDAO中国区负责人潘超表示，MakerDAO并未出现安全漏洞，所有资金安全，原文作者指出的问题是所有权益系统都存在的治理挑战，作为Maker的开发团队，该治理挑战是已知可控的，并且通过有计划的一系列工具箱权衡解决。潘超指出，DAO是一个复杂系统，最重要的是权衡，单线思维下的设计是不稳定的，现行的Maker系统相对是最安全的。[2019/12/10]
动态 | 以太坊游戏Dice2win出现漏洞 庄家可操纵游戏结果:据360消息，Dice2win目前是以太坊上一款异常火爆的区块链游戏。号称“可证明公平的”Dice2win目前每日有近千以太(一百五十万人民币)的下注额，是总交易量仅次于etheroll的第二大以太坊游戏。然而分析发现，dice2win中的所有游戏都存在公平性漏洞，庄家可以利用这些漏洞操纵游戏结果。dice2win中的所有游戏都会受到庄家选择性中止攻击，庄家可以选择性公布中将结果从而导致用户无法获胜或赢得彩票。[2018/10/12]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。