2019年度区块链安全复盘总结

来源 | PeckShield

责编 | Carol

出品 | 区块链大本营&＃xff08;ID&＃xff1a;blockchain_camp&＃xff09;

如果说2018年&＃xff0c;我们做区块链安全拥有了“上帝视角”&＃xff0c;那过去的2019年&＃xff0c;我们则收获了“圣母心态”。

2018年&＃xff0c;基于代码技术底层&＃xff0c;我们俯瞰交易所、钱包、矿池、DApp 等生态各个环节&＃xff0c;挖漏洞、搭态势感知平台、发威胁情报&＃xff0c;向行业科普漏洞背后的技术原理&＃xff0c;引领行业从一次次安全事件的“教育”中&＃xff0c;加强安全防护&＃xff0c;巩固安全壁垒。

2019年&＃xff0c;通过渗透业务逻辑&＃xff0c;我们深入智能合约、DeFi、地址溯源、暗网等不同产业底层&＃xff0c;搭链上数据预警系统&＃xff0c;抢先洞察安全威胁&＃xff0c;深入社区协同开发者做应急响应&＃xff0c;誓为行业发展扫平一切路障。

据数据显示&＃xff0c;2019年全年区块链安全事件177起&＃xff0c;造成的经济损失高达76.79亿美元&＃xff0c;环比2018年增长了60%左右。

过去一年&＃xff0c;我们敏锐观察到&＃xff1a;

1&＃xff09;区块链安全波及范围面更广了&＃xff0c;从交易所到数字钱包&＃xff0c;再到 DeFi 领域&＃xff0c;越是离钱越近的地方&＃xff0c;越会是黑客攻击的重灾区&＃xff1b;

2&＃xff09;开发者安全意识普遍有所提高&＃xff0c;DApp、智能合约等原先存在的溢出、重放、随机数等基础型攻击方式整体减少了&＃xff0c;开发者安全防御普遍有所提高&＃xff0c;倒逼黑客攻击方式不断演变&＃xff1b;

3&＃xff09;安全危机事发背后的原因越来越魔幻了&＃xff0c;私钥丢失、代码预留后门、冷钱包被攻击、创始人离奇死亡等花式“漏洞”乱花渐欲迷人眼&＃xff0c;技术 BUG 易除&＃xff0c;人性 BUG 难平&＃xff1b;

4&＃xff09;理财钱包诈骗、跑路事件等成为行业新患&＃xff0c;基于普通大众在区块链技术上的认知盲区&＃xff0c;不法分子炮制各类传销币、模式币、空气币搅乱行业风气&＃xff1b;

5&＃xff09;交易所跨国境资产流动更加频繁了&＃xff0c;随着数字资产的广泛普及&＃xff0c;区块链生态头号玩家“交易所”的中枢作用愈发凸显&＃xff0c;交易所之间资金流动的背后存在未监管资金大规模“出海”事实。

交易所安全重回公众视野

2019年05月08日&＃xff0c;全球知名的交易所币安被曝遭遇了黑客大规模系统性攻击&＃xff0c;黑客获取了大量 API 密钥&＃xff0c;谷歌验证 2FA 码等信息&＃xff0c;一次性提走了7,000枚 BTC。

这次突发的交易所安全事件&＃xff0c;让人联想到去年3月份币安的惊魂一夜&＃xff0c;部分币安用户发现自己账户中的代币被抛售&＃xff0c;导致数字资产价格下跌10%。

相比之下&＃xff0c;今年币安再遭一劫后&＃xff0c;数字资产市场并没有太大的波动&＃xff0c;用户在应对黑天鹅事件的心态正趋于成熟&＃xff0c;且攻击发生后&＃xff0c;币安创始人兼 CEO 赵长鹏随即宣布通过 SAFU 进行全额赔付&＃xff0c;很快将事件的负面影响平息了下来&＃xff0c;最终&＃xff0c;并没有对二级市场造成太大冲击。

不过&＃xff0c;这次事件暴露出了交易所安防面临的挑战尤为艰巨。币安除了巩固自身服务器安全之外&＃xff0c;还得提防中间资产托管服务是否遭到木马入侵&＃xff0c;尤其是用户客户端遭劫持的情况下。这就倒逼交易所同样需要从业务层加强审核机制&＃xff0c;比如&＃xff0c;自动化提币额度分级&＃xff0c;人工审核提币等。

事实上&＃xff0c;在去年年底 Upbit 交易所被曝遭遇攻击&＃xff0c;损失了34万 ETH&＃xff0c;再次给交易所安全敲响了警钟&＃xff0c;尤其是钓鱼、API 劫持、服务器木马攻击等等偶然性攻击因素。这同时给市场提了一个醒&＃xff0c;最大的安全风险可能不是来自企业防护层&＃xff0c;而关系到每一个用户的安全意识和操作习惯。

DeFi 安全成未来行业重灾区

2019年&＃xff0c;以太坊公链赛道跑出了 DeFi 这匹野马&＃xff0c;让业界普遍认知到。区块链技术基于DeFi 金融应用场景获得大规模落地应用的可能。

目前DeFi应用中&＃xff0c;以 MakerDAO、Compound、dYdX、instaDApp 等金融借贷平台为主&＃xff0c;主要满足用户抵押数字资产借贷稳定币的需求&＃xff0c;此外还发展出了诸如 Synthetix、Augur 等衍生品平台。DeFi 特有的类乐高积木似的可组合特性&＃xff0c;让 DeFi 赛道展现出超强的活力&＃xff0c;很可能会是未来两三年区块链领域的焦点。

DeFi 产品基于智能合约和交互协议搭建&＃xff0c;代码普遍开源&＃xff0c;资产完全在链上&＃xff0c;极容易成为黑客攻击的重心。

今年05月07日&＃xff0c;头部 DeFi 借贷平台 MakerDAO 被曝治理合约存在安全漏洞&＃xff0c;区块链安全公司随即介入参与&＃xff0c;呼吁社区用户尽快转移暴露在危险下的 MKR 资产&＃xff0c;同时独立分析研究了漏洞细节&＃xff0c;协助 MakerDAO 官方进行了漏洞修复&＃xff0c;所幸最终并没有产生任何攻击损失。

事实上&＃xff0c;今年年初 Compound、Nuo 也先后被曝出过智能合约问题&＃xff0c;在此后的半年时间内&＃xff0c;Synthetix、0x 协议、Edgeware 等 DeFi 相关应用也被曝出存在潜在安全隐患。0x 去中心化交易所协议合约在校验订单签名时存在缺陷&＃xff0c;受其影响一大批部署了0x 协议的 DEX 平台可能都存在潜在安全风险。不过&＃xff0c;这些 DeFi 平台在曝出安全威胁后&＃xff0c;第一时间联合安全公司进行了漏洞修复&＃xff0c;最终并没有产生较明显的安全损失。

但却透露出一个危险信号&＃xff0c;黑客已经盯上 DeFi 领域了。一旦 DeFi 平台的资产抵押规模和受众群体再上一个量级&＃xff0c;这个领域很可能会是继 DApp 之后的下一个安全事件多发区。

理财钱包诈骗成行业新毒瘤

2019年&＃xff0c;PlusToken、TokenStore、OneCoin 等理财钱包被曝跑路&＃xff0c;卷走数百亿数字资产&＃xff0c;令数百万投资者奔上了漫漫“维权路”。区块链技术概念被一些不法分子包装成低投入、高收入的理财模式&＃xff0c;用来诈骗一些对区块链行业认知欠缺的普通用户。

PlusToken 号称是一家在韩国注册的加密币钱包和交易所&＃xff0c;其真实面目是一个用高回报吸引投资者的旁氏骗局。PlusToken 许诺给投资者10%-30%的月息&＃xff0c;并以高回报吸引大量投资者相继投入了20万枚 BTC&＃xff0c;78万枚 ETH&＃xff0c;和2,600万 EOS 等价值不菲的数字资产&＃xff0c;涉及资金达到200多亿人民币&＃xff0c;用户超300余万人&＃xff0c;影响范围非常广且危害巨大。

2019年6月29日&＃xff0c;PlusToken 用户反馈无法提币&＃xff0c;项目方也被媒体曝光跑路&＃xff0c;随后又传出六名主要负责人被中国警方逮捕。然而&＃xff0c;其涉及的巨额赃款仍没有追回并返还受害者。在随后的数月内&＃xff0c;PlusToken 的 BTC 资产、ETH 资产&＃xff0c;EOS 资产出现多次洗钱操作。区块链安全公司旗下可视化资产追踪平台 CoinHolmes 监控到&＃xff0c;PlusToken 的部分资产开始汇聚、分散转移&＃xff0c;再通过类似 ChipMixer 的工具进行混淆&＃xff0c;再通过场外 OTC 的渠道卖出。但目前而言&＃xff0c;只有少部分资金被洗成功了&＃xff0c;大部分数字资产依然悬而未决&＃xff0c;以至于一旦出现行情不明缘由大跌的情况&＃xff0c;就有分析称是 PlusToken 砸盘。PlusToken 效应如同股市里的丁蟹效应一样&＃xff0c;成了大家畏惧的存在。

不过&＃xff0c;客观来看&＃xff0c;理财钱包的出现&＃xff0c;能让一部分普通用户接触到区块链以及各类数字资产&＃xff0c;给行业带入新的流量和资金。短期看对行业是利好影响。然而&＃xff0c;长期来看恰恰相反&＃xff0c;随着这类理财钱包的崩盘和跑路&＃xff0c;大批的普通用户会成为受害者&＃xff0c;带着偏见和认知差可能会永远的告别这个行业。

凡是过往&＃xff0c;皆为序章。

尽管过去三年以来&＃xff0c;区块链行业安全事件造成的经济损失呈愈演愈烈之势。我们通过黑客攻击方式的演变以及生态目前面临的安全威胁发现&＃xff0c;区块链行业安全正在从草莽期逐渐趋向成熟&＃xff0c;表现在&＃xff1a;

1&＃xff09;出现了一批优秀的区块链安全公司。他们专注于区块链安全攻防&＃xff0c;为行业生态提供专业的安全监测、态势感知、威胁情报、AML可视化等专业化工具&＃xff0c;和躲在区块链黑暗森林的黑客&＃xff0c;形成了一支相抗衡的正义力量;

2&＃xff09;智能合约、DApp 生态上一些简单且具有连带威胁的漏洞正逐渐减少。尽管黑客们仍持续进行撒网式的攻击尝试&＃xff0c;但项目开发者基础的安全攻防意识已初步形成&＃xff0c;一些较为低级的安全漏洞明显有所减少;

3&＃xff09;交易所、理财钱包等离用户比较近的平台成为安全事件频发的重灾区&＃xff0c;这是由于行业发展早期&＃xff0c;用户端安全意识薄弱造成的隐患。比如针对用户进行的钓鱼木马入侵和高理财收益诈骗等。换个角度来看&＃xff0c;说明区块链市场的安全薄弱环节从B端已经转移到了 C 端&＃xff0c;安全守护工作逐渐变得可控、可防也是一种进步&＃xff1b;

4&＃xff09;数字资产“合规化”引领下一轮行业发展。一方面&＃xff0c;国家顶层设计将区块链技术定义为核心技术突破口&＃xff0c;另一方面未受监管的数字资产数额越来越大。区块链数字资产领域开始面临“合规化”的新挑战。包括&＃xff0c;交易所 KYT 服务、AML 反洗钱服务、黑客赃款追踪服务等等。短期看&＃xff0c;监管肃清可能会给生态带来致命打击&＃xff0c;但长期看&＃xff0c;被纳入监管或许是下一轮高速发展的开端。

推荐阅读

• 区块链的阴暗面

• 抗击疫情&＃xff0c;程序员在家免费学这些&＃xff01;
  

• 微软开源深度学习优化库 DeepSpeed 连登 GitHub 趋势榜&＃xff01;
  

• Python &＃43; ElasticSearch&＃xff1a;有了这个超级武器&＃xff0c;你也可以报名参加诗词大会了&＃xff01;| 博文精选
  

• 一文告诉你&＃xff0c;如何使用Python构建一个“谷歌搜索”系统 | 内附代码

• 愿得一心人&＃xff1a;硅谷亿万富豪们的婚姻怎样&＃xff1f;有人白首相守七十年
  

老铁们求在看&＃xff01;????

猛戳“阅读原文”&＃xff0c;填写中国远程办公-调查问卷