区块链的安全问题最近层出不穷，从之前的CoinCheck遭黑客攻击，数亿美元的虚拟资产被盗，到BitcoinGold遭51%双花攻击，再到EOS主网上线在即，价值2000多万美金的EOS映射无效，再到前几日Bancor交易所遭黑客攻击。但是，区块链出现的各种安全问题，又会让很多人不解。毕竟，区块链是去中心化设计、采用非对称加密，有防篡改的特点，说好的安全呢，为什么还总被曝出各种漏洞，遭到各种攻击呢？另外，从项目方的角度来看，很多人从传统互联网行业转型到区块链行业后，还是在用互联网的业务先行思维来做事，那么，如果从区块链安全性的角度来看，这种思维在codeislaw的区块链世界能否行得通？就此，Odaily星球日报对派盾科技的CEO蒋旭宪进行了专访，对于区块链网络在安全性风险方面与传统互联网的差别、智能合约为什么总被曝出漏洞、当下以及未来区块链的安全性风险等问题进行了深入探讨。※派盾科技：区块链安全公司，由前360首席科学家、美国北卡州立大学终身教授蒋旭宪博士于2018年创办。派盾科技曾发现并命名了BEC、SMT、EDU等智能合约的安全漏洞。今年5月份，派盾科技完成数千万元天使轮融资，投资方为高榕资本。Odaily星球日报：与传统互联网行业的安全风险相比，区块链网络的安全性风险有哪些显著的不同？蒋旭宪：每个时代都有自己的安全属性，PC互联网更多的是与主机、网站服务器的安全有关；移动互联网更多的是与手机上的隐私数据相关；区块链是将数字资产上链，所以上链后的数据资产的安全就变得很重要。一旦发生安全问题，造成的后果相当严重。比如之前的美链BEC的漏洞，被爆出后整个近70亿市值断崖式下跌。还有，派盾1个多月前曾针对EOS主网映射问题发出安全预警，即在EOS主网启动前还有29.98%的EOS代币尚未完成映射，如果不尽快完成映射，投资者就有可能永远失去自己持有的EOS代币。Odaily星球日报：区块链本身就融入了一些安全性设计，比如去中心化的分布式、非对称加密、哈希唯一性等，那现在总被爆出有各种安全风险的原因是什么？蒋旭宪：我认为用了安全技术并不能说明区块链就是安全的，这可以从以下两个角度来看：1.系统的角度：安全领域中有一个理论叫“短板理论”，短板与整个系统的安全有直接关系。区块链技术打造出来的就是一个系统，系统里会涉及各个环节。比如其中的私钥环节，私钥虽然设计的好，但是如果用户不慎点击了钓鱼网站，私钥就会被黑客盗走，其数字资产也自然不保；2.行业发展速度：区块链行业发展的比较快，而且本身离钱比较近，也因此成为黑客攻击的热门目标，区块链技术本身还需要不断升级来因应这种变化。Odaily星球日报：在区块链1.0到2.0再到3.0这样的一个发展过程中，区块链的安全问题有什么主要的变化？蒋旭宪：EOS主网上线也没多长时间，是否能成为区块链3.0目前还不好评判。我们就先来看下区块链1.0和2.0阶段。区块链1.0是以比特币为代表的阶段，比特币的设计相对来说要简单，没有之后的2.0、3.0这么复杂，但也正因为简单，所以区块链1.0的安全性也会高很多。区块链2.0是以以太坊为代表，很多DApp基于以太坊部署，智能合约如果设计的不够好，安全问题就会暴露出来。比如我们来看下这张以太坊的发展曲线图，这是我们团队内部用来分析以太坊数据的。其中横轴是以太坊的块号block，纵轴是当前横轴点对应的一万个块。图中上面这条灰色曲线，代表的是一万个块里包含有交易块的个数；下面这条黄色曲线，代表的是一万个块里没有包含交易块的个数。两条曲线对应的点所代表的个数，加起来是整整一万个块。图中出现的这个拐点的时间段，就是2016年6月，黑客通过智能合约漏洞攻击了TheDAO，以太坊随后进行了硬分叉，当时以太坊总共花了5个月的时间来完全解决掉这个问题。除此之外，我们还曾曝出的美链BEC、SMT、EDU等这都是智能合约的安全问题。Odaily星球日报：为什么在区块链行业里智能合约总是会被曝出漏洞？蒋旭宪：我们现在手头上有上百万个智能合约，通过对这些智能合约整理汇总后，发现原因主要有两个：1.由于业内还是习惯于COPY代码，那么如果一个合约出问题，将会涉及到一大片；2.传统互联网行业的“小步快跑”、“快速迭代”的这种业务先行的思维，在codeislaw的区块链世界是行不通的。在区块链行业里，后续再进行代码迭代的成本是很高的。如果要升级智能合约，一般需要把当前的智能合约进行快照，然后部署新的智能合约，再把旧合约的快照转移到新合约。这一过程不但影响交易，也影响用户对项目的信任和信心。Odaily星球日报：有人认为以太坊的智能合约总被曝出漏洞，是因为它太灵活了，你怎么看这个说法？蒋旭宪：我不这样认为，这个要结合区块链安全的发展来看，我认为区块链安全的发展要经历这样三个阶段：1.无知阶段。比如去年ICO异常火爆的时候，很多人就没有注意到区块链安全的重要性。2.唤醒阶段。随着行业里炒币的火热以及各媒体对区块链的关注，一大堆安全问题也就被暴露出来。在这个过程中，项目方被唤醒，意识到区块链的安全性问题的重要性。目前区块链行业的安全状态，还处于唤醒阶段。3.警觉阶段，也就是区块链项目方开始主动寻求与安全公司的合作。Odaily星球日报：目前在区块链行业做安全的难点有哪些？蒋旭宪：在区块链世界中，由于其去中心化的特点，导致应急响应机制是缺失的。另外就是目前一些区块链项目对安全理念的理解不够，对待安全公司也不够友好。Odaily星球日报：派盾做区块链安全公司的优势所在是？蒋旭宪：目前做区块链公司的不算多，国外的安全公司比如有QuantStamp，专于智能合约的安全审计协议，还有采用“形式化验证”方式的CertiK等。国内的比如有慢雾科技、成都链安科技。在区块链的安全领域，每个安全公司有自己的切入点。对于派盾来说，首先我们是由数据分析来驱动，是从草堆里找绣花针，通过将链上的数据进行整理分析汇总，来发现有哪些安全问题存在，哪些安全问题更值得去关注。之前有提到过，我们现在手头上有上百万个智能合约，我们通过对这些智能合约整理汇总分析后，主动地查找安全问题或隐患。比如我们之前发现的可以无限生成代币的漏洞就是这样发现的。第二就是我们关注的是区块链生态的各个环节的安全问题，比如交易所、钱包、矿池等的安全问题。再一个就是我们团队的核心成员不少是在美国拿到了计算机专业的博士学位，也有不少是在国内一线互联网公司拥有多年的实际工作经验，算是学术背景和工业界经验兼具，所以拥有前瞻性的国际视野，对区块链行业的全球把握相对也比较准。Odaily星球日报：我们是如何选择曝出漏洞的时间？蒋旭宪：原则上来说，只要漏洞没被利用，我们会先与项目方进行沟通，等待他们修复漏洞。如果漏洞被利用，那么我们会选择将漏洞公开。比如我们曝出的以太坊“致命报文”漏洞，我们发现漏洞后，先与以太坊基金会做了沟通和协商，等漏洞修复完成才予以公开，整个过程超过了一个月。Odaily星球日报：你认为未来区块链技术面临的潜在安全危险是什么？比如量子计算机等新技术的发展，对于此你怎么看？蒋旭宪：量子计算机技术不断升级的同时，区块链技术也会持续发展。我认为安全威胁会以你想不到的角度出现，比如很有可能是降维攻击。但就目前而言，我个人认为区块链最大的问题，是在POW机制下的51%算力攻击，毕竟公链的安全风险涉及到的不仅是某个项目方，而是会波及整个生态。另外，公链底层的节点安全问题也很重要。比如360报的EOS“史诗级”安全漏洞；还有PeckShield之前报过的以太坊“致命报文”漏洞，可使三分之二以上的geth节点瞬间停摆，要知道，节点的背后有可能是交易所、矿池、和钱包等。我是Odaily星球日报的齐明，探索真实区块链，项目交流、爆料请加微信qingmoruoshui，烦请备注姓名、公司、职务。转载/内容合作/报道联系report@odaily.com；违规转载法律必究。
GameStop计划削减成本并在数字资产和Web3方面开发新产品:金色财经消息，电子游戏及相关产品零售商 GameStop (GME) 首席执行官 Matt Furlong 在给员工的一封信中表示，公司的重点已转向消除多余成本并以强烈的所有者心态经营，在削减成本的推动下首席财务官 (CFO) Mike Recupero 离职，该职务将由首席会计官 Diana Jajeh 接任。
根据 Furlong 的信函，该公司计划在数字资产和 Web3 中开发新产品。GameStop 从去年开始一直在进军Web3 领域，计划于今年晚些时候推出 NFT 市场，此前开发了一个用于存储加密和 NFT 的数字资产钱包 GameStop Wallet。（CoinDesk）[2022/7/9 2:01:29]
动态 | 微软与Telefónica 合作为电信行业开发新的业务模式:据Cointelegraph报道，西班牙最大的跨国电信公司Telefónica与微软合作，利用区块链和人工智能（AI）扩大其数字创新领域的业务。Telefónica 近几个月已与多个与区块链项目建立合作关系，现在将利用微软的Azure平台为电信行业开发新的服务模式。[2019/2/26]
黄立成投资的秘银（Mithril）将在Qtum上开发新的社交媒体应用程序:量子链Qtum官方推特宣布，社交媒体区块链项目Mithril计划在Qtum上开发社交媒体分散应用程序DApps。Mithril 是去中心化的社交网络，目前在okex价格为3.8626美元，24小时跌幅11.86%；量子链Qtum是基于UTXO模型的POS智能合约平台，现全球均价27.1美元，24小时涨幅5.34%。[2018/3/6]
声音 | PeckShield: EOS竞猜游戏EOS.Win遭新型交易阻塞攻击:今天凌晨02:01-02:07之间，PeckShield安全盾风控平台DAppShield监测到黑客向EOS竞猜类游戏EOS.Win发起连续攻击，获利数千EOS ，并已转至币安交易所。PeckShield安全人员分析认为，此次黑客攻击采用的交易阻塞攻击，这是一种全新的攻击手段，会影响超级节点出块，PeckShield安全盾已成功测试抵御此类攻击，建议开发者去除可控变量参与随机数生成，来避免此类攻击造成损失。未知新型攻击手段的出现，短期内会对DApp生态带来较大的连带威胁，可能会影响其他多款同类游戏，PeckShield在此提醒广大开发者应高度警惕，及时做好安全布控及攻击测试，排查潜在被攻击的风险。[2019/1/11]
动态 | PeckShield 安全播报: “钱包分离法”疫苗正式上线，可解除 BCH 硬分叉后重放交易困扰:据 PeckShield 态势感知平台数据显示：自 BCH ABC 和 BCH SV 正式分叉为两条独立公链以来，截止目前，存在于两条公链上的重放交易笔数已达2,492,067笔。在有效的重放保护功能出台前，如此巨量重放交易的存在，给交易所和一般 BCH 持有者带来了较大困扰。为此，区块链安全公司 PeckShield 基于“钱包分离法”火速制定了一套可免疫解决方案：1、 无掺加地址分离：在 ABC 和 SV 链上分别生成一个不同地址，然后把原 BCH 地址中 ABC 和 SV 币分别转到这两个地址中；2、掺加 input 疫苗：在发起一个 ABC/SV 交易时，在 input 中加入一个只存在于 ABC/SV 链的小额 UTXO，使得该交易在另一条链上是非法交易，无法重放；3、掺加特殊 OP Code：ABC 链和 SV 链都有独有的 OP code，所以可以把它们加入交易中，达到类似第2种方法的效果。PeckShield 安全人员建议此三种方法可组合叠加落实，防范效果会更彻底。目前，已经有头部交易所接受并实施了此免疫方案。[2018/11/20]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。