由於要檢測所有的公鏈的工作量非常大,只靠一家公司不可能監測整個區塊鏈生態安全問題,這就導致了駭客極有可能在眾多公鏈之中找尋到漏洞進行攻擊。2017 年 4 月 1 日,Stellar 出現通脹漏洞,一名攻擊者利用此漏洞製造了 22.5 億的 Stellar 加密貨幣 XLM,當時價值約 1000 萬美元。
交易所 Exchange
與買賣股票的證券交易所類似,區塊鏈交易所即數字貨幣買賣交易的平臺。數字貨幣交易所又分為中心化交易所和去中心化交易所。
去中心化交易所:交易行為直接發生在區塊鏈上,數字貨幣會直接發回使用者的錢包,或是儲存在區塊鏈上的智慧合約。這樣直接在鏈上交易的好處在於交易所不會持有使用者大量的數字貨幣,所有的數字貨幣會儲存在使用者的錢包或平臺的智慧合約上。去中心化交易透過技術手段在信任層面去中心化,也可以說是無需信任,每筆交易都透過區塊鏈進行公開透明,不負責保管使用者的資產和私鑰等資訊,使用者資金的所有權完全在自己手上,具有非常好的個人資料安全和隱私性。目前市面上的去中心化交易所有 WhaleEx、Bancor、dYdX 等
中心化交易所:目前熱門的交易所大多都是採用中心化技術的交易所,使用者通常是到平臺上註冊,並經過一連串的身份認證程式(KYC)後,就可以開始在上面交易數字貨幣。使用者在使用中心化交易所時,其貨幣交換不見得會發生在區塊鏈上,取而代之的可能僅是修改交易所資料庫內的資產數字,使用者看到的只是賬面上數字的變化,交易所只要在使用者提款時準備充足的數字貨幣可供匯出即可。當前的主流交易大部分是在中心化交易所內完成的,目前市面上的中心化交易所有幣安,火幣,OKEx 等。
由於交易所作為連線區塊鏈世界和現實世界的樞紐,儲存了大量數字貨幣,它非常容易成為駭客們覬覦的目標,截止目前全球數字貨幣交易所因安全問題而遭受損失金額已超過 29 億美元(資料來源 SlowMist Hacked)。
數字貨幣領域,攻擊者的屠戮步伐從未停止。激烈的攻防對抗之下,防守方處於絕對的弱勢,其攻擊手法多種多樣,我們會在之後的文章中為大家進行介紹。職業駭客往往會針對數字貨幣交易所開啟定向打擊,因此慢霧安全團隊建議各方交易所加強安全建設,做好風控和內控安全,做到:“早發現,早預警,早止損。”
節點 Node
在傳統網際網路領域,企業所有的資料執行都集中在一箇中心化的伺服器中,那麼這個伺服器就是一個節點。由於區塊鏈是去中心化的分散式資料庫,是由千千萬萬個“小伺服器”組成。區塊鏈網路中的每一個節點,就相當於儲存所有區塊資料的每一臺電腦或者伺服器。所有新區塊的生產,以及交易的驗證與記帳,並將其廣播給全網同步,都由節點來完成。節點分為“全節點”和“輕節點”,全節點就是擁有全網所有的交易資料的節點,那麼輕節點就是隻擁有和自己相關的交易資料節點。由於每一個全節點都保留著全網資料,這意味著,其中一個節點出現問題,整個區塊鏈網路世界也依舊能夠安全執行,這也是去中心化的魅力所在。
RPC
遠端過程呼叫(Remote Procedure Call,縮寫為 RPC)是一個計算機通訊協議。以太坊 RPC 介面是以太坊節點與其他系統互動的視窗,以太坊提供了各種 RPC 呼叫:HTTP、IPC、WebSocket 等等。在以太坊原始碼中,server.go 是核心邏輯,負責 API 服務的注入,以及請求處理、返回。http.go 實現 HTTP 的呼叫,websocket.go 實現 WebSocket 的呼叫,ipc.go 實現 IPC 的呼叫。以太坊節點預設在 8545 埠提供了 JSON RPC 介面,資料傳輸採用 JSON 格式,可以執行 Web3 庫的各種命令,可以向前端(例如 imToken、Mist 等錢包客戶端)提供區塊鏈上的資訊。
以太坊黑色情人節漏洞 ETH Black Valentine's Day
2018 年 3 月 20 日,慢霧安全團隊觀測到一起自動化盜幣的攻擊行為,攻擊者利用以太坊節點 Geth/Parity RPC API 鑑權缺陷,惡意呼叫 eth_sendTransaction 盜取代幣,持續時間長達兩年,單被盜的且還未轉出的以太幣價值就高達現價 2 千萬美金(以當時 ETH 市值計算),還有代幣種類 164 種,總價值難以估計(很多代幣還未上交易所正式發行)。
透過慢霧安全團隊獨有的墨子(MOOZ)系統對全球約 42 億 IPv4 空間進行掃描探測,發現暴露在公網且開啟 RPC API 的以太坊節點有 1 萬多個。這些節點都存在被直接盜幣攻擊的高風險。這起利用以太坊 RPC 鑑權缺陷實施的自動化盜幣攻擊,已經在全球範圍內對使用者造成了非常嚴重的經濟損失。