EOS漏洞事件：区块链安全应提上日程
2018-06-07 22:48:07 来源：品途商业评论
5月29日，国内安全标杆企业360对外宣布公司Vulcan（伏尔甘）团队发现了区块链平台EOS的一系列高危安全漏洞。
5月29日下午2点，360创始人周鸿祎发布微博称“360安全大脑发现的区块链漏洞，价值超过‘百亿美金’，如果被非法利用，可以远程攻击控制和接管EOS上运行的所有节点，严重情况下，EOS乃至整个虚拟货币市场都会遭遇滑铁卢。”
一、价值超“百亿美金”的区块链“史诗级”漏洞
360安全团队对EOS漏洞描述如下：“我们发现了EOS区块链系统在解析智能合约WASM文件时的一个越界写缓冲区溢出漏洞,并验证了该漏洞的完整攻击链。
使用该漏洞,攻击者可以上传恶意的智能合约至节点服务器,在节点服务器解析恶意合约后,攻击者就能够在节点服务器上执行任意代码并完全控制服务器。
在控制节点服务器后,攻击者可以将恶意合约打包进新的区块,进而攻击和控制其他新的节点,最终攻击和控制整个EOS网络。”
具体的漏洞细节，重现、执行过程感兴趣的同学可以去360卫士官网查看。
用周鸿祎的话来说，“如果漏洞被人利用，可以控制EOS网络里面的每一个节点每一个服务器，那就不仅仅是接管网络里面的虚拟货币、各种交易和应用，也可以接管节点里面所有参与的服务器。拿到服务器权限，就可以为所欲为了。如果有人做一个恶意的智能合约，就能够把里面所有的数字货币直接拿走了。所以这个对于区块链网络来说，不会有比这个更严重的漏洞了。
EOS现在的估值至少百亿美金，所以这个漏洞价值百亿美金并不夸张”。
二、严峻的区块链安全
作为今年以来最为热门的区块链项目，本次EOS“史诗级”漏洞的闹出的动静有点大。一方面说明EOS的影响力大，另一方也说明大家对区块链安全还是十分关注的。
事实上，关于区块链、加密数字货币的安全问题一直以来都是热点话题。在EOS之前，区块链已经发生了多次安全事故，比如著名的The DAO事件。
The DAO之所以被攻击，也是由于它编写的智能合约存在着重大缺陷。The DAO编写的智能合约中有一个splitDAO函数,攻击者通过此函数中的漏洞重复利用自己的DAO资产来不断从TheDAO项目的资产池中分离DAO资产给自己。
说起来比较绕，实际上就是The DAO的智能合约出了BUG，用户可以不断利用这个BUG从The DAO的资产池中获取DAO资产。
又比如今年1月日本最大比特币交易所之一的Coincheck新经币（NEM）被非法转移至其他交易所实践。
再比如BEC美链4月被黑客攻击事件。BEC的合约代码：Beauty Chain 美蜜出现严重bug，可以通过合约的批量转账的功能，无限复制token。而类似美链这样的安全问题，有几十个基于以太坊ERC20的数字货币都有出现这样的问题。
除此之外，区块链自身存在的51%攻击，秘钥安全隐患等问题也都时有发生。
关于区块链、加密数字货币的安全问题，每一次事故大家都会有所警醒，有所改进。但这些警醒和改进都是暂时的，缺乏一个长期的，持续的安全管理机制。这是无法持久保证区块链长期安全的。
这些区块链安全，本身就是一个严峻的问题，也是各区块链企业必须承认，面对的问题。这对安全企业来说其实是一个莫大的机会，可惜好多人都没抓住。
EOS“史诗级”漏洞的发现，360再一次展示了自己在安全领域的技术实力，也一举奠定了360在区块链安全领域的领导者地位。
三、区块链安全需要更多360、更多周鸿祎共同守护
周鸿祎说：区块链领域里面，真正的安全问题其实还没出来。通过这次披露EOS漏洞，我们希望是让大家能够重视区块链安全问题。在网络安全行业里，有两种情况是最可怕的，一种是做沙漠里的鸵鸟，知道不改，还有一种是知道了不爆出来，最后被人利用，这两个才是最可怕的。
之前何玺在文章中说过：在区块链和加密货币越来越被大众所熟知的当下、将来，保护用户数字资产安全，保障平台系统安全，都是个人用户、区块链企业、政府管理层等十分关心的问题。
从用户角度来说，区块链技术越安全，使用起来才会越放心，加密货币也是一样；从企业角度来说，区块链技术安全是保障自身应用系统安全、用户数据资产安全的最基本要求，也是最高要求；从政府管理层面来说，保护公民合法数字资产安全，监督企业安全运营也是基本职责。
但现实情况是，企业在应用服务或交易所技术上很专业，很厉害，但在保障应用服务和交易所安全上却多有欠缺。The DAO和Coincheck都是例子。前者在应用上线部署之前没有检查出系统漏洞，才会被黑客所攻击，后者则缺乏明确的安全保护措施，未能保护好用户数字资产安全。
那么该如何解决区块链技术安全问题呢？
玺哥认为这需要像360这样专业的安全服务商来做。比如360推出的基于区块链安全生态的3个系统。括数字货币钱包安全审计系统、区块链安全态势感知系统和区块链节点安全解决方案。
这几个系统也可以看做是360针对区块链企业推出的安全服务套餐，各个不同区块链企业可以选择不同的服务。这对其他区块链安全企业来说也是一种启示，区块链还处于初级阶段，安全市场也才开始，机会还很多。
安全厂商要做的是考虑如何保障区块链创业者的应用安全，从应用开发到部署上线，再到应用运营维护、监测、预警、防御等，从多角度，全方位去保护企业应用/平台运行安全，保障用户使用安全。
区块链安全的严峻情况，需要更多360、更多周鸿祎一起共同守护。
文 | 何玺
本文来源：品途商业评论责任编辑：KS002
本文仅代表作者个人观点，与本网站立场无关。云掌财经对文中陈述、观点判断保持中立，不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证，请读者仅作参考，并请自行核实相关内容。
-
【 景气度处于高位 机械板块估值修复可期 】 近期，工程机械板块跟随市场调整，走势一般，但行业景气度仍在高位运行。有分析人士认为，随着基础设施建设不断发力，产品更新换代需求及出口持续向好等，工程机械行业持续火热，行业整体盈利水平逐步上升。基于业绩确定性，工程机械板块仍是后市关注重点。（中国证券报）
2018-10-13 -
【聚焦“ABC” 互联网争霸进入下半场】日前，港股上市公司腾讯控股6年来首次宣布调整内部构架，新成立云与智慧产业事业群、平台与内容事业群，并压缩原有事业群。外界解读公司此举是为了将人工智能、大数据和云计算提升到更核心的战略位置。事实上，不仅腾讯，国内百度、小米、阿里巴巴，国外谷歌、亚马逊等互联网巨头近年均调整组织架构，意在适应“ABC”变革。分析人士称，“ABC”已成互联网巨头决胜下半场的关键。
2018-10-13 -
【证监会：受理首发及发行存托凭证企业271家 已过会32家未过会239家】证监会披露的数据显示，截至10月11日，中国证监会受理首发及发行存托凭证企业271家，其中已过会32家，未过会239家。未过会企业中正常待审企业217家，中止审查企业22家。
2018-10-13 -
【 聚焦“ABC” 互联网争霸进入下半场 】 日前，港股上市公司腾讯控股6年来首次宣布调整内部构架，新成立云与智慧产业事业群、平台与内容事业群，并压缩原有事业群。外界解读公司此举是为了将人工智能（AI）、大数据（BIG DATA）和云计算（CLOUD）提升到更核心的战略位置。事实上，不仅腾讯，国内百度、小米、阿里巴巴，国外谷歌、亚马逊等互联网巨头近年均调整组织架构，意在适应“ABC”变革。分析人士称，“ABC”已成互联网巨头决胜下半场的关键。（中国证券报）
2018-10-13 -
【 证监会：受理首发及发行存托凭证企业271家 已过会32家未过会239家 】 证监会披露的数据显示，截至10月11日，中国证监会受理首发及发行存托凭证企业271家，其中已过会32家，未过会239家。未过会企业中正常待审企业217家，中止审查企业22家。
2018-10-13 -
【逢低吸筹茅台格力等 北向资金昨日净流入10.73亿元】 北向资金节后开盘以来的浓厚避险情绪，终于在本周最后一个交易日有所缓解。伴随着A股的止跌反弹，截至12日收盘，借道沪股通、深股通的境外资金合计净流入10.73亿元，一举扭转了此前连续大幅净卖出的局面。曾遭北向资金大幅抛售的活跃标的个股，也悉数恢复了净流入态势。本周前4个交易日遭净卖出9208万元的格力电器，周五获净买入1.56亿元。洋河股份、泸州老窖和大华股份周五也获得小幅净流入。
2018-10-13 -
【中证报：悲观预期必将修正 优质资产终会引领风潮】突如其来的海外市场动荡，打乱了A股9月下旬发动的上行攻势。在“过山车”似的走势背后，当下A股市场对利空的敏感暴露无遗，本质上这是经济悲观预期作祟。国际经济金融形势更加错综复杂，然而经过今年以来的逐步调整，A股对潜在风险的反映已经比较充分。优质资产在超跌之后，终将迎来修复契机。
2018-10-13 -
【财政部表态减税力度将扩大 增值税税率调整随时出台】据悉，对于增值税改革的工作，目前相关部门也已启动，包括税率合并以及下调等事宜都在进行测算。“此前税务机关曾找第三方机构测算税率下调后的影响，因此年内有可能随时出台政策。”一位税务系统人士判断。（中国经营报）
2018-10-13 -
【墨西哥经济部长：将寻求获得加拿大钢铝产品保护性措施的豁免】墨西哥经济部长瓜哈尔多表示，将致电加拿大方面，寻求获得加拿大钢铝产品保护性措施的豁免；预计加拿大的钢铝产品贸易保护性措施将给墨西哥钢铝出口带来2亿美元影响。
2018-10-13 -
【9月房企融资成本达2017年下半年以来峰值】据不完全统计，2018年1-9月典型85家房企融资总额8287亿元，同比减少11%。43%的房企融资额同比有所减少。下半年以来TOP50之后有发债的房企只有5家，中小企业融资难问题更加显著。从单月来看，2018年春节以来房企的各月平均融资成本，除6月外，基本都较上年同期有所增加。9月整体融资成本反弹至6.91%，达到去年下半年以来的最高值，房企融资成本的增加预计将进一步限制融资规模的增长。（克而瑞地产研究）
2018-10-13
