前言
2020年初,隨著整個行業認知和規模的不斷升級,以及疫情、Fcoin等各類黑天鵝事件頻出的影響,區塊鏈技術的更新迭代由此受到了更嚴峻的挑戰,安全領域也同樣面臨考驗。
之前提到,雖然2019年行業安全意識整體有所提高,DApp、智慧合約等原先存在的溢位、重放、隨機數等基礎型攻擊方式整體減少,但這也使駭客們的攻擊方式趨於多樣化。
2020年的技術方向有何變化?更應注意哪些領域的安全防範措施?發展迅猛的DeFi 如何解決安全性和隱私性問題?本期米林有約邀請到了慢霧科技的安全團隊,一起來解答以上這些問題。
文/星陽
出品/米林財經&慢霧團隊
01 關於慢霧科技
慢霧科技是一家專注區塊鏈生態安全的公司,由一支擁有十多年一線網路安全攻防實戰的團隊建立,團隊成員曾打造了擁有世界級影響力的安全工程。
自 2018 年 1 月成立至今,致力於成為全球領先且專注於區塊鏈生態的安全公司,慢霧科技已經為全球多家領先的數字貨幣交易所、錢包、底層公鏈、智慧合約等專案做了安全審計及防禦部署。
慢霧科技在行業內曾獨立發現並公佈多起通用高風險的安全漏洞,得到業界的廣泛關注與認可。
目前慢霧科技已為全球50多家交易所提供了安全審計與安全顧問服務,例如火幣、OKEx、幣安、BigONE等。
同時也為100多款軟體、硬體錢包提供了安全服務,包括MYKEY、imToken、imKey等,此外,慢霧已經累計審計了30幾條公鏈和600多份智慧合約,例如唯鏈、本體、PlatON,以及穩定幣TrueSD、HUSD、OKUSD等,慢霧在區塊鏈安全方面有著非常豐富的經驗。
02 如何判斷平臺的安全性
問:對於一個平臺或者公鏈的安全稽覈會從哪些維度評估?使用者如何判斷一個平臺的安全性?
答:我們在審計交易所時,會從服務端安全配置、身份鑑別管理、認證與授權管理、業務邏輯、私鑰管理系統、熱錢包架構等方面進行安全審計,確保平臺各個方面都是安全的。
公鏈審計的話,主要關注的是P2P 通訊、RPC 呼叫、密碼學元件、共識機制、資產交易等關鍵模組。
從使用者角度看,儘量選擇國際知名的交易所是一個比較通用的原則,同時,也可以看這個交易所有沒有請第三方安全公司做過安全審計,這樣可以從側面看出這個交易所對安全的重視程度。
03 慢霧的優勢
問:和其他安全領域的公司相比,慢霧有什麼優勢?
答:慢霧是國內最早專門做區塊鏈生態的安全公司,同時我們的服務範圍包括交易所、錢包、公鏈、聯盟鏈、智慧合約、礦池等等,幾乎所有區塊鏈生態裡的專案型別我們都能提供針對性的安全服務。
這主要是因為,我們團隊成員擁有十幾年的網路安全攻防經驗,以及深厚的區塊鏈漏洞挖掘能力,目前我們已經獨家發現並命名了多個區塊鏈漏洞。
例如:以太坊黑色情人節漏洞、USDT 假充值漏洞、以太坊代幣假充值漏洞、瑞波幣(XRP)“假充值”漏洞、EOS DApp 充值“假通知”漏洞、EOS 假充值(hard_fail 狀態攻擊)、門羅幣(XMR)鎖定轉賬攻擊等等。
此外,我們同時服務了世界前三大交易所、世界頂級去中心化錢包、世界知名公鏈及穩定幣,我們服務的客戶數量已超過700家,是行業裡遙遙領先的。
04 FCoin需要改進的地方
問:Fcoin張健前幾天在公告中提出,技術問題造成了1000萬美金的損失,在慢霧看來,Fcoin在資產安全和透明上有哪些需要改進的地方?
答:慢霧專注於區塊鏈生態安全,從我們安全服務的50幾家交易所來看,我們深刻覺得運營交易所是一個知識覆蓋面很廣、技術難度也比較大的事情,需要各方面人力、物力、財力的投入,才能保障交易所安全、穩定的運營。
目前交易所行業內值得推崇的做法是資產透明和100%保證金,公開交易所的冷熱錢包地址,讓公眾能檢視錢包的交易記錄,提升使用者對交易所的信任感。
問:談到交易所的安全,去中心化交易所是否就比中心化交易所安全呢?對於去中心化交易所的安全評估維度會有什麼側重點嗎?
答:去中心化交易所主要的特點是資產在使用者的錢包地址中,資產轉移由使用者的私鑰簽名控制,平臺本身不會託管或者無法挪用使用者資產,對使用者的使用門檻更高。
在安全審計方面,會重點關注去中心化交易所的智慧合約是否存在安全漏洞,在身份認證、許可權管理、拒絕服務漏洞等方面會特別關注,Web安全方面就和中心化交易所一樣。
2019交易所攻擊事件
05 如何規避攻擊
問:交易所被駭客攻擊已經是家常便飯,慢霧曾經發現其中一個重要的攻擊手法為 APT(Advanced Persistent Threat :高階持續性威脅),可否簡單描述一下這個攻擊手段?區塊鏈的攻擊主要有哪些型別,慢霧有沒有做一些分析和統計,需要哪些方面去規避攻擊?
答:APT 攻擊是一種高階攻擊手法,攻擊方往往是團隊作戰,並且會持續很長時間的盯著一個目標。
APT 攻擊在傳統網際網路安全攻防中是比較多出現的,近兩年由於數字貨幣生態的逐漸發現,越來越多的交易所、錢包遭遇APT攻擊,這在攻防對抗實力上是不對等的,交易所可以藉助職業的第三方安全團隊來針對性提升平臺對抗APT攻擊的水平。
區塊鏈生態中的攻擊型別有非常多,可以按照專案的型別(如交易所、錢包、公鏈、智慧合約)來區分,慢霧開發了區塊鏈被黑檔案庫和慢霧BTI平臺,能夠對區塊鏈生態歷史上發生的各類攻擊進行分類整理和統計,同時透過圖表進行視覺化的展示。
網址分別是 https://hacked.slowmist.io/ 和 https://bti.slowmist.com/
06 2020安全和技術的方向
問:在2020年,區塊鏈行業安全和技術領域應重點關注的是哪塊?
答:根據慢霧區塊鏈被黑檔案庫(hacked.slowmist.io)資料統計,區塊鏈世界至今被黑金額已近 85 億美金,其中交易所佔了 40 多億,47%,這個比例是很可怕的,近一半的被黑都來自交易所。
而未被披露的更多,根據我們內部資料統計,已披露被黑事件佔所有被黑事件的比率大概是 1/3。在 2020 年交易所安全依然是重點關注的。
2020 年,區塊鏈技術的發展有三個方向值得期待:
1. 穩定幣的商業創新應用。如果Libra等專案進展順利的話,對加密世界也是個很大的推進。
2. Web3.0 讓使用者掌握自己的資料,期待 Web3.0 亮眼的應用出現。
3. 我們始終期待隱私應用在幾個關鍵方向的成熟:資金交易隱私及使用者資料隱私,其中一個很期待成熟落地的應用是安全多方計算(MPC)相關應用,這可以很通用且安全地解決需要多方角色進行的私鑰操作及資料授權等場景的安全可信問題。
07 DeFi的安全隱私問題
問:慢霧如何看DeFi仍然會面臨的安全和隱私性問題?是否具備可執行的解決方案?
答:2019 年 DeFi 應用發展迅猛,新形態的推出總會經歷一段混沌期,目前使用者更多會關注DeFi應用的功能和收益,未來在安全和隱私上,隨著Web3.0的發展也會帶來一定的升級。
在平臺安全方面,近期的 bZx 安全事件反應出一個風控機制缺失的問題,對Oracle的資料沒有進行相應的檢查,導致兌換價格被惡意操縱,給平臺帶來資產及品牌上的損失。
bZx已經遭受了兩次攻擊,不同的是本次的物件是 ETH/sUSD 交易對,但也許有人會有疑問,sUSD 不是對標 USD 的穩定幣嗎?這都能被攻擊?攻擊手法具體是怎樣的?
在第一次攻擊中,攻擊者結合 Flash loan 和 Compound 中的貸款,對 bZx 實施攻擊,主要分成以下幾步:
1.從 dYdX 借了 10000 個 ETH;
2.到 Compound 用 5500 ETH 借了 112個 BTC 準備拋售;
3.到 bZx 中用 1300個 ETH 開 5 倍槓桿做空,換了 51.345576 個 BTC,而這裡換取的 BTC 是透過 Kyber Network 來獲取價格的,然而 Kyber Network 最終還是呼叫 Uniswap 來獲取價格,5 倍槓桿開完後兌換回來的 51 個 BTC 實際上是拉高了 UniSwap 中 BTC/ETH 的價格,換取價格是 1/109,但是實際上大盤的價格不會拉到這麼多;
4.用從 Compound 借來的 112 個 BTC 來在 UniSwap 中賣掉,由於第三步中 bZx 中的 5 倍槓桿已經把價格拉高,所以這個時候出售 ETH 肯定是賺的,然後賣了 6871 個 ETH;
5.歸還 dYdX 中的借貸。
第二次攻擊與之前稍有不同,但核心都在於控制預言機價格,並透過操縱預言機價格獲利。
兩次攻擊的主要原因還是因為 Uniswap 的價格的劇烈變化最終導致資產的損失,這本該是正常的市場行為,但是透過惡意操縱市場,攻擊者可透過多種方式壓低價格,使專案方造成損失。
針對這種透過操縱市場進行獲利的攻擊,慢霧安全團隊給出如下建議:
專案方在使用預言機獲取外部價格的時候,應設定保險機制,每一次在進行代幣兌換時,都應儲存當前交易對的兌換價格,並與上一次儲存的兌換價格進行對比,如果波動過大,應及時暫停交易。防止市場被惡意操縱,帶來損失。