繁體中文
  • 繁体
    简体中文
  • 繁体
    繁體中文

青苹果

守护您的资产安全

添加客服微信号向客服提问咨询

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

2018-12-28 06:44:02 42 引领区块链+电商发展,青苹果带来无限可能

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

 

在英剧《神秘博士》中,主人公的时间机器Tardis是一个电话亭。虽然从外面看着很小,但里面的空间巨大无比。

 

如果Tardis放在互联网世界中,它便是手机中一个小小的APP Store。

 

据工信部发布的数据,截至今年5月底,我国一共有415万款移动应用。

 

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

 

聊天、煲剧、点外卖、订票……现在的年轻人已越发离不开一个个APP。相似的场景,在不久后,也将发生在区块链上。

 

在区块链上的APP,被称作DApp,即去中心化的APP。DApp基于智能合约,双方将约定的内容写进程序中,从而无法被篡改。

 

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

 

DApp其实也是智能合约+App。

 

目前,基于公链开发的DApp数量保持高速增长。根据DApp.com数据显示,今年前三季,以太坊上已有超过 900 个DApp,而在去年第二季度末,DApp的数量只有7个。

 

此外,如今市场上60%的DApp都是游戏,在今年第三季度EOS上推出的60中新DApp中,超过一半是投注、博彩类应用。

 

在高速增长背后,DApp的安全问题不容忽视。一个小小的漏洞,会造成巨大损失。

 

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

 

今年10月底,基于EOS主网开发的DApp EOS Cast游戏遭遇黑客攻击,团队账户共损失了超过7万枚EOS。据EOS当前价格估算,本次攻击中,EOS Cast平台损失超255万元人民币。

 

由于区块链上的数字资产采用的是匿名交易的原则,数字资产丢失后,几乎无法找回。一旦发生黑客攻击事件,运营团队和用户只能自认倒霉。

 

据PeckShield的最新数据,截至2018年12月12日,共发生35起DApp安全事件,共损失超过41万个EOS,市值近1000万元人民币。

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

 

据了解,目前DApp的安全问题主要在以下三个方面:

 

一是游戏的逻辑设计问题,本身出现Bug;

二是DApp遭遇黑客攻击,资产被盗走;

三是菠菜(博彩)类游戏随机算法被攻破。

 

DApp被黑客攻击事件频发,安全问题就成为DApp发展过程中绕不过的坎。

 

如何解决这些难题?如何在设计DApp时就防范有可能产生的安全问题?当DApp大规模爆发时,又会给公链带来怎样的压力和挑战?

 

12月20日,锌财经举办了本月第三场区块链主题分享活动,锌财经创始人潘越飞邀请了PeckShield EOS安全负责人施华国对上述问题做出解答。

 

施华国原是网秦安全响应负责人、360高级安全研究员、阿里巴巴高级安全专家,有10年移动互联网安全经验,主要专注于软件攻防和数据安全方向。

 

ZN:为什么说DApp已到大爆发时期?

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

△施华国

 

施华国:目前三大主流DApp公链有 ETH、EOS和TRON。先看以下三个公链的特点比较。

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

△ETH、EOS和TRON的特点比较

 

左边的 ETH 属于 DApp 的第一代公链,从2015年7月30日上线,虽然已运行三年多,但由于高额GAS费用和每秒不到10个的交易速度,极大制约了它的发展。目前ETH上的DApp总数只有1705个,由于性能限制,在ETH上很难有高频操作的游戏。现在用户活跃较高的DApp主要是去中心化交易所和低频交易的游戏。

 

而随着EOS在2018年6月9日上线,经过了3个多月的稳定过度期,在10月初EOS开始出现大规模爆发,现在EOS上DApp 数量已经达到238个。

 

下面这张图是三网的DApp日活跃度数据对比。

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

△数据截止到2018年12月13日

 

从图中可以看到,EOS在10月初出现DAU(日活跃用户数量)大幅上涨,最高时是ETH的6、7倍。但EOS的DAU数据波动比较大,这和安全事件、群控刷量行为等诸多因素有关。

 

在看浅蓝色的TRON的DAU数据,数据量虽然最高只有5000,但毕竟它上线比EOS更晚,体量又小,从长远看,我认为TRON的未来会有较大的发展空间。

 

下面这张图是三网DApp交易额数据对比,数据分析也是截止到2018年12月13日。

安全 | 面对黑客肆虐,资产被盗,区块链DApp如何谈安全?

 

可以看到黄颜色的EOS交易额数据要比ETH和TRON高的多。

 

总的来说,区块链DApp爆发,可以看作EOS是公链上的DApp爆发。

 

ZN:如何看目前大家戏称EOS沦为博彩公链?

 

施华国:EOS目前的现状确实是竞猜类游戏为主,总数在DApp中占据了一半以上,并且交易额排名前几的都是竞猜类游戏。这个是不得不承认的事实。

 

但是同时我们也可以看到,仍然会有些优秀的DApp保持稳定、健康增长。比如去中心化交易所Newdex,现在交易额已经排名在第六。而另一款卡牌类游戏EOS Knights,在去除假量的真实DAU排名中,一直稳定在前五的位置,也拥有忠实玩家。

 

近期又有些开发者从ETH上的DApp和传统游戏领域开始转型加入EOS DApp开发的队伍中。

 

ZN:从行业度看,哪条链能获得最大规模的开发者?哪种类型的DApp最有机会跑出来?

 

施华国:DApp用户群体最大、热度最高的还是EOS,开发者肯定是要集中最优的资源在大平台上做更大投入了。除了EOS,TRON发展的势头也很迅猛,通过我们的数据分析,发现两个公链的DApp用户活跃度确实会有部分相互影响,未来TRON或许会成为EOS的一个不可忽视的竞争对手。

 

至于哪类DApp会成为新的Killer DApp,这个不好说。好多DApp上线时都号称自己是Killer DApp,宣传搞得火热但没多久就凉了。不过目前看,游戏至少是一个好的开端。

 

ZN:如何看带生态安全对于DApp发展的威胁?开发者将如何应对?

 

施华国:截至2018年12月12日,共发生35起DApp安全事件,共损失超过41万个EOS,市值近1000万元人民币。

 

我们发现从EOS生态早期到现在,黑客攻击原理其实是在不断演变的,从最早的溢出攻击到合约RAM吞噬问题,再到重放攻击、假EOS、假通知攻击,以及近一两个月比较活跃的随机数和交易回滚攻击等。黑客的攻击手段越来越复杂,也越来越成体系,攻击者还会定期用已知攻击扫描漏洞尝试攻击新上线的游戏,这给EOS本来就薄弱的早期发展生态带来了更大的挑战。

 

开发者一定要对安全有足够的防范意识,首先开发阶段需要参考安全编码规范进行编写代码,以降低被已知漏洞攻击的风险;其次需要找专业的安全团队对合约代码进行安全审计;最后一点也是最重要的,你永远无法预知未来是否会遭到黑客攻击。所以开发者一定要有一套完整的应急响应风控系统,确保当真正遭受攻击时,会及时预警并做熔断处理。