来源/链捕手，原题《重重事故下，区块链安全的难题与出路》
作者/胡韬
未经授权，谢绝转载
纵观过去一年区块链行业的安全状况，几乎每个月都有较大的安全事件爆发，价值超百亿的链上资产被作恶者以不同的方式窃取，主要类型包括公链底层代码缺陷、DApp合约代码缺陷、私钥被窃、携款跑路等。
随着加密资产在全球金融体系拥有越来越重要的地位，必然会吸引更多黑客的瞩目，区块链项目面临的安全攻防战将越来越频繁与困难，但这对行业而言也是契机。
2019年对区块链行业而言是颇具意义的一年，众多政府与企业巨头都开始向区块链技术投向更多的注意力与资源，为未来区块链技术在更多场景的实际应用营造出相对友好的环境。
不过在真正迈向大规模应用前，区块链行业仍有许多现实问题需要探讨与解决，其中包括安全问题。作为一项志在挑战现有金融行业的新兴产业，区块链行业的安全性尤其是影响自身前景最重要的因素之一，如果在安全问题上有所疏忽怠慢，未来很可能迟早会出现引起行业出现短期崩盘的事件。
Twitter更改为X或将导致数十亿美元的品牌价值缩水:7月25日消息，马斯克下令将Twitter的产品名称更改为“X”，并取消蓝鸟标志和所有相关词语，包括“tweet”。据分析师和品牌机构称，马斯克的举动使公司价值损失了40亿至200亿美元。
Siegel&Gale品牌传播总监Steve Susi表示，我们花了15年多的时间才在全球范围内赢得了如此多的追捧，因此失去Twitter这一品牌名称将带来重大的财务打击。分析师和品牌机构称该产品的重命名是一个错误。品牌机构Fazer创始人Todd Irwin表示，Twitter是最知名的社交媒体品牌之一。鸟类贴花与Instagram和Facebook徽标一起装饰着世界各地的小型企业和网站。Insider Intelligence分析师Jasmine Enberg表示，Twitter的企业品牌已经与马斯克的个人品牌紧密相连，无论有没有X这个名字，Twitter的大部分既定品牌资产已经在用户和广告商中流失。[2023/7/25 15:56:50]
纵观过去一年区块链行业的安全状况，几乎每个月都有较大的安全事件爆发，价值超数百亿元的链上资产被黑客或作恶者以不同的方式窃取，主要类型包括公链底层代码缺陷、DApp合约代码缺陷、私钥被窃、携款跑路等。
苹果公司预计将于周二从App Store中删除Damus:金色财经报道，苹果公司预计将于周二从App Store中删除Damus，因为据报道该应用程序违反了该公司的应用内购买准则。
Damus创始人William Casarin表示，苹果希望从所有笔记或内容部分中删除zap按钮，苹果认为这种配置等同于销售数字内容，尽管用户个人资料上有zap按钮也不行。我与Apple通了电话，他们告诉我，他们不希望使用zap进行销售，我认为我们可以做的妥协之一是我们实际上会删除所有笔记切换功能。Casarin称他修改了Damus界面，以便zap按钮仍然会出现在笔记上，但zap本身不会与任何笔记相关联，并且只会在个人资料级别发送和处理。Casarin表示，苹果公司对他的妥协并不满意。
苹果证实已与Casarin接洽，并向他清楚地解释了如何解决该问题。[2023/6/27 22:02:01]
先是在去年1月5日，以太坊经典遭遇多次51%算力攻击，8.8万枚ETC被用于双花。同期，EOS、波场上诸多菠菜类DApp游戏由于合约代码安全性薄弱，开始频繁遭到黑客的重放攻击、随机数攻击、阻塞攻击等，此后全年都在持续不断地发生，致使合约开发者及用户遭受巨大损失，例如波场BTTBank游戏合约被盗1.8亿个BTT、EOS应用EOSDice被盗数万EOS、PokerEOS被盗2万多个EOS。根据成都链安的统计，区块链行业19年发生智能合约漏洞事件超百起，被黑总损失超1000万美元。
欧洲央行报告：CBDC比比特币、稳定币更适合跨境支付:8月3日消息，欧洲央行（ECB）在周一发布的一项研究中表示，央行数字货币（CBDC）可能是跨境支付的“圣杯”，有可能超越市场上的其他任何选择——包括比特币和稳定币。而在稳定币占据中介地位的情况下，比特币是提高跨境支付效率的最糟糕选择。
该研究称，央行数字货币和国内即时支付系统在降低跨境交易成本和即时交易方面潜力最大，并称比特币无法解决跨境支付的挑战，这是由其低效的工作量证明共识机制、高波动性以及被犯罪分子使用等特性导致。
另一方面，根据该研究，就稳定币而言，除了对其非法使用的担忧之外，监管方还担心它会对货币主权和金融稳定构成风险。
研究还指出，开发CBDC的各国央行应在早期阶段讨论互操作性问题，以确保跨境交易的效率。（Forkast）[2022/8/3 2:56:06]
在19年3月，DragonEx、Bithumb、Biki等多家交易所出现资产被盗，其中DragonEx总共损失价值超过600万美元的数字资产，被盗原因系该交易所客服从陌生人处获取并打开了一个捆绑后门的安装包，黑客通过该后门获取内部人员权限渗透进内网进而成功获取数字货币钱包私钥，Bithumb则是由于被裁员工「动手脚」被盗价值超过1800万美元的EOS资产。
Hawky Studio创始人Joy Nguyen即将推出公链项目Etherum Royalty:据官方消息，California加密技术Hawky Studio创始人Joy Nguyen宣布即将推出公链项目Etherum Royalty。
据介绍，Etherum Royalty定位于平民级的数字金融支付公链，实现价值在社区内自由流动，其内置通证ETR基于ETC进行1:1映射。用户可通过ETR参与Etherum Royalty上的NFT、元宇宙游戏项目，参与现实与虚拟经济链接。[2022/6/3 4:00:54]
19年5月，币安由于安全漏洞被黑客利用网络钓鱼、病等攻击手段，从币安热钱包中盗取7000枚比特币，总损失达到4100万美金。而在18年，币安已经出现由API接口被黑导致的安全问题，黑客利用币安用户资产大幅拉升SYS、VIA等小币种的价格，实现在其他交易所出货套利的目的。
在此后的6-7月，Plustoken钱包、波点钱包、MGC钱包等钱包项目陆续出现携款跑路的新闻，此前这些钱包利用高额利息吸引投资者将大量资产储存在己处，但事发后投资者储存的资产几乎全部无法取出，其中Plustoken钱包涉案金额据称高达上百亿，虽然此后部分涉案人员被抓捕，但卷走的加密资产疑似都未能追回。
数据：STEPN过去24小时活跃用户数为38,008人:5月27日消息，据Dune链上数据显示，Move to Earn应用STEPN过去24小时新铸造鞋子16,703双，过去7日新铸造鞋子98,190双；过去24小时活跃用户数为38,008人，过去7日活跃用户数为162,999人。[2022/5/27 3:45:56]
8-9月，比特币钱包Electrum两次遭黑客钓鱼攻击，据多方统计伪造Electrum升级提示的钓鱼攻击已盗窃至少1450枚BTC，当时价值1160万美元。11月，韩国知名交易所Upbit交易所遭到黑客攻击，34.3万个ETH被盗走，当时价值约5000万美元。
12月，多个公链项目遭遇资产被盗的尴尬，先是唯链在14号宣布遭遇黑客攻击，被盗走11亿枚VET代币，价值640万美元；20日，NULS公链官方账户由于链底层代码缺陷被盗200万NULS代币，损失超过50万美元。尴尬的是，此前两者都曾表示代码已经过第三方代码安全审计。
同月，公链IOTA主网出现共识分裂而无法更新的情况，TPS一度接近0。Vertcoin则遭受了51％攻击，攻击者成功利用自己的553个区块替代了603个VTC主链区块，致使项目损失10万美元。
从前述概括不难看出，19年的区块链行业不断在上演各类安全事故，其中不乏多家知名交易所，暴露出许多区块链企业与项目在加密资产存储、底层架构开发层面存在严峻的问题。
不过好消息在于，这些安全事件几乎都没有对对区块链行业造成整体性威胁，比特币、以太坊等主流区块链网络运行也较为稳定，称得上重大威胁的事件可能只有一件，即谷歌在今年9月宣称实现「量子霸权」。
根据分析，量子计算机由于运用量子叠加原理，在增大信息容量、提高运算速度、确保信息安全等方面都将突破现有传统信息系统的极限，其运算速度可以达到传统电脑的「数亿倍」。据报道，谷歌量子计算机Sycamore完成特定计算任务的时间为3分20秒，当前世界上最快的超级计算机则需要1万年。
由此，许多声音认为支撑区块链技术的椭圆曲线加密算法将很容易被量子计算攻破，并使得区块链的公私钥机制不再能有效保护用户资产，进而当前区块链所规划出的技术发展蓝图都将被量子计算摧毁。
但很快有行业人士指出谷歌的声明并不靠谱，赵东就表示量子计算机要破解比特币的椭圆曲线算法，需要操作十万以上的量子比特数才有可能，目前谷歌的量子计算机可以操作几十个，而技术难度则随着操作数2的幂级上升，故而量子计算机离攻破比特币加密算法仍有很长时间。
但不得不承认的是，量子计算如同于区块链行业的「达摩克利斯之剑」，始终是个悬在头上的潜在威胁，这意味着具有「量子抗性」的区块链与加密算法未来会具有显著需求，需要行业人士尽快加以突破。
相比遥远的量子计算，更现实、更紧迫的问题还是在于公链与交易所在合约、协议、节点等层面的安全，一方面要更好地保障资产安全，另一方面要更好地保障DApp服务的稳定，提升公众对区块链技术安全性的信心。
面对这些安全事故，解决方案无外乎两种路径，一种是事先预防，各方面都需要总结经验不断完善潜在漏洞，例如不要为了追求新概念、新模式刻意改造行业成熟算法、架构，尽量使用学术界证明过的算法或者已经广泛工程校验过的代码库；推动制定加密资产储存的行业标准，不合条件者应与第三方资产托管服务商合作；加强对日常运营中对敏感岗位人员电子设备的安全管理，进一步规范资产存储流程。
同时，区块链项目也要充分利用外部力量，加强底层代码的审计。慢雾科技亦指出，区块链项目应当针对安全漏洞发布赏金计划，当黑客发现安全问题时有一个反馈的渠道，如果没有这样的一个渠道黑客会更倾向于利用漏洞攻击公链，而不是想办法去联系项目方反馈问题。
另一类路径则是事后补救，联合行业多方冻结、追回资产，通过压缩黑客的变现空间来挤压黑客的攻击动机。由于区块链链上资产的所有流转信息都是可追溯的，黑客窃取的资产地址在被失窃方公开后，交易所等方面将很容易锁定数字资产并进行链上流向梳理和分析，在黑客转入资产后进行冻结。
例如在今年3月韩国Bithumb交易所被盗价值约1800万美元的加密资产后，立即向具有合作关系的交易所以及说明情况并保持沟通，此后火币、KuCoin、ChangeNOW等多家交易所都将涉及Bithumb被盗地址的资产进行冻结，ChangeNOW进一步表示已经根据执法机关的指示将这些被盗资产存入一个安全的冷钱包。虽然此次Bithumb没有公布追回资产价值，但在18年6月的被盗事件中，Bithumb曾公布价值3100万美元的被盗资产已被追回1400万美元。
虽然其他被盗交易所很少公开此类信息，但由Bithumb的案例不难推断出，多数主流交易所针对资产被盗问题已经达成合作共识与实质联系，这将使得黑客所窃取资产的可套现渠道受到相对严密的管控，但如若黑客不将所窃资产转入中心化交易所，外界在多数情况下仍然无可奈何，且随着DiFi行业的进一步发展，黑客亦可能通过抵押、去中心交易等方式获得更多变现渠道。
可预期的解决方法在于硬分叉，公链团队可以号召所有节点共同对主网升级并实施硬分叉，进而使得被盗资产「失效」，例如今年12月NULS在团队账户超过360万元的资产被盗后，即通知各节点进行升级并硬分叉，未被转入交易所的剩余资产不再受到新链认可，为自身挽回超过270万元的损失。在更早的2016年，以太坊也曾由于TheDAO项目资产被盗问题实施过硬分叉。
不过，目前还没有过某条公链由于交易所资产失窃而进行硬分叉的先例，今年赵长鹏在币安被盗7000个BTC时曾发文表示，币安会考虑区块重组/交易回滚等方式恢复被盗金额，却引起行业轩然大波与一致反对，可见区块链的分叉与回滚在资产失窃场景中并不太适用。
总的来看，随着加密资产在全球金融体系拥有越来越重要的地位，必然会吸引更多黑客的瞩目，区块链项目面临的安全攻防战将越来越频繁与困难，但这对行业而言也是不错的契机，以更高的要求与投入在全球技术领域证明自身的可靠度与安全性。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。