10月10日—11日，第三届腾讯安全国际技术峰会(tensec)在深圳举办。这场由腾讯安全发起，腾讯安全科恩实验室、腾讯安全平台部联合主办，腾讯安全学院协办的国际性信息
10月10日—11日，第三届腾讯安全国际技术峰会(tensec)在深圳举办。这场由腾讯安全发起，腾讯安全科恩实验室、腾讯安全平台部联合主办，腾讯安全学院协办的国际性信息安全技术峰会，以高质量、高规格的标准，致力于探索国际前沿安全技术和领域，为国际厂商和安全社区合作搭建一个长期持续的沟通合作平台，共同守护新兴互联网形态和用户安全。
知道创宇创始人、ceo赵伟受邀出席大会，发表题为《一个佛系安全从业者的区块链世界观》的精彩演讲。2018年可以说是区块链的大年，然而这个以安全著称的领域，自身的安全状况或者说真相究竟是怎样的呢?以下为大会现场演讲实录：
赵伟：
我跟大家分享一下我们在区块链方面的安全研究。因为我一路是技术人员走过来的，所以先提几个问题：大家手里有比特币的举手，就这么几位吗?有以太坊的举手。更少。eos呢?没有。xmr呢?
其实最开始比特币的创建者是很多一代的黑客，比如我们几个朋友很深度参与了。在2014年比特币持有者的排行调查中，h. d. moore本人持有40万枚，目前价值接近于20多亿美金，其cto也持有40万枚，还有另外一位创始人也同样持有40万枚，他们三人持有的数量超过了中本聪的98万枚。安全行业最初的黑客，是最深的参与到了比特币的创建中。
2010年左右就开始玩比特币的举一下手。我个人很早开始注意比特币的信息，当时刚超过1美元的价格。我们玩的时候还没有超过1美元，我们认为这在未来有非常大的趋势，所以很深度参与到了区块链的方面。外界知道我们知道创宇是做安全防御的，但我个人及公司研究团队很深度参与到了挖矿安全、矿机安全、钱包安全、交易所安全以及硬件钱包的安全研究，今天的演讲都会涉及到。
先看一下现状。大家形容区块链的现状就两个字：凉凉。现在已经有很多人看笑话了，区块链暴跌，有些币都是清零状态了。这个状态本身已经发生过多次，在比特币的历史上也多次暴跌，潮水散去，所以一般裸泳的人就发现他在裸泳，但坚守的人又坚持下来走了下去。我认为数字货币跟未来的通证经济一定会存在。
第二点，比特币和区块链技术非常接近于现金本身，甚至本身就是货币，从来没有一个技术这么接近于钱，他可能就是钱本身。为什么我们一直研究这个东西?安全平常是说起来重要，做起来次要，没有预算的时候砍掉，安全人员很悲哀。但我们第一次感觉我们在区块链行业这么受重视，所以我们从事安全这个职业是有希望的，区块链行业给了我们极大的重视，让我们坚持下去。
区块链数字货币的总市值在最高点是8200多亿，现在跌到了1000多亿。截止到9月11日，跌了14%，是整个大暴跌。我后面会讲环境的产生以及我们的心态如何调整。比特币价格从最高接近2万美金，跌到6000美金，前段时间跌破到6000美金以下，不足以覆盖挖矿成本，这是击穿底线的事情。
大家都在说比特币“凉凉”，因为有统计，大概有1000多个数字货币歇菜清零了，有300多个交易所关闭了，整个就是一地鸡毛的状态。我们可能持有大量的币，山寨币、比特币、以太坊，可能没有pos，我们不太喜欢pos，它太集中了。这种暴跌的情况下如何保持好的心态?我认为就是佛系。佛的智慧是大智慧，对普通人来说，它是非常好的安慰剂，所以我就大概讲一下。
区块链应用从佛学角度进行理解，对应“眼耳鼻舌身意”，还有第七种的“末那识”，它是连接我们做的行为和背后的“阿赖耶识”，我认为这是区块链的公链。区块链的想法跟佛教的想法非常接近，“阿赖耶识”说的是这个东西超过了更高的维度，不增不减的，由某种特定规则规定的。区块链用的是数学，矿机来决定账本谁有财富的，跟这个很相似。
这个我就大概说一下，六道轮回。这个轮回说的是你每时每秒的心境轮回，分为人道-“韭菜”、畜生道-币圈、修罗道-链圈、饿鬼道-黑客、地狱道-归零、天道-无币区块链。
理解的角度就是佛教的四圣谛。
无常-区块链的p2p网络，所建立的根基是以随机性为目标的。最近在证实定理，如果随机性被打破了，数字游戏就完蛋了。
无我-虚拟货币、区块链p2p网络。账本是流水账，没有个人账本的值。
皆苦-有漏洞。这个苦不是痛苦，是有问题，不完美的，我的理解是有漏洞的。
涅磐-区块链本源。
大家可以不用深度了解我说的是什么，但有一天你可能会有想法。区块链是加密数字货币，是全球化的分布式账本，这个账本代表个人财富，这个非常重要。它想做成世界计算机。阿赖耶识就是背后计算你人生成功、失败的系统。
区块链为什么被创造出来了?大家可能知道，2008年金融衍生品太多，一帮黑客和数学家认为，我们应该有“不能让这些人割韭菜”的数字黄金出现，这种东西不是由人或机构决定的，而是有算法、数学决定的。
比特币横空出世，8年之内翻了380多万倍。如果你的股票涨一倍你能开心死，股票跌一倍你能痛苦死。比特币涨了380万倍，这简直是奇迹，在这个奇迹之前大家都说，比特币不完美，但在我看来它非常适当的完成了它的梦想、理念及原则。因为它不是1.0版本，在我看来它可能是5.0版本。
在这之前，1982年最早提出了拜占庭将军问题，怎样让多数人决定一个事，就是把p2p节点化，让算法来决定这个事。1991年用数字的时间戳决定数字文件安全性，1997年出现了哈希现金技术，1998年出现了数字黄金。2008年综合了前四代，写出了比特币的创意。一直到现在，11月29日价格首度超越黄金。所有老的币圈的玩家都非常感谢我们。我们在海外演讲的时候，有一位大拿立马就跪下了。为什么?
我们2013年组织了中国比特币联盟，当时是百度投资了我们一个老的saas平台，叫做百度加速乐，当时我们是第一个接受比特币进行支付的。当时比特币基金会主席说，这是比特币历史上最大的一步，因为当时中国第一的互联网公司开始接受比特币了，纳斯达克当天涨了40美金，第二天涨了70美金。因为这个行为，当时帮助了很多的比特币交易基金、交易所和钱包，当时涨的超过了每克黄金的价值。
比特币到底是符合什么愿望，达到了什么目标?这是时间轴和真正的目标，就是我们众生如何使用这个东西?我们发现比特币的支付和费用问题，网络出块太慢，不能试用电子现金的高频交易。可能有人用它廉价的支付网络，最后也没了。支付的成本越来越高，暗网货币最后发现，在暗网中使用的时候成本很高，并且可以被追踪，因为它只是简单的匿名，不是加密的，抗审查的数字黄金，它模拟的是数字黄金，黄金的本质是限量，可永远保留，并且不可分割，你不能带一公斤的黄金去买东西，非常重。
比特币也非常重，满足了数字黄金的概念。在加密货币行业的储备货币上，它做到了这两点，并且是非相关的金融资产，跟股票不挂钩，很多家族基金把钱投入到了比特币，它的价格摆在那。数字黄金的价值导致很多人把钱储存在那，作为抗割韭菜的方法。储备货币是一种稳定币，这是比特币真正的未来目标。
因为我后面想跟大家分享的太多了，所以简单过一下区块链的基础。我们认为区块链的基础，是因为我们从最底层的安全一直做到了最上层。这样来讲安全，一个是技术层次，一个是生态层次，我先讲技术层次，然后再讲生态层次怎么做安全。应用层、激励层、共识层，这个很重要，然后是网络层、数据层。我以前主要是研究p2p网络这些东西，当时我看到比特币，我觉得非常天才，把网络用在了点对点支付上。
应用层大家都知道，dapp、分布式应用，我不详细说了。这个以太猫特别搞笑，我朋友花了80万买了一只猫，现在跌成了0。
激励层，挖矿机制如何奖励，每个挖矿的人其实是账本的确立者，如果没人干这个活，就没人维护账本的交易。
共识层，pow、pos、poa、dpos等等，非常多。这么多的算法，其实是不可突破的三角。第一个角，安全性。poa、pow都在这。第二个角，去中心化，高度自制，不希望有中心化的金融机构存在。第三个角，可扩展性。高吞吐、高容量、低延迟。pos在中间，我们不喜欢pos，它很容易导致整个生态的混乱。
理解了之后有一个重大好处，你可以预测哪支币将会爆炸式增长。这是我们自己画的曲线，为什么当时比特币高速增长，然后是pos高速增长，然后是dpos高速增长，最后又回到了比特币的增长。根据我提到的，用法是去中心化的安全性，他们发现不行，流动性不好，所以加强的tps，变成了追求资金的流动型经济效益。出现了dpos、pos，又回到了比特币，一直没有人给比特币代码，中本聪是匿名的，导致一堆山寨币抢了比特币的份额。我经常站出来说，比特币未来保值并且会增长。这条线就是普通民众如何追求共识算法代表的数字货币，导致了背后的价值增长。
目标是网络层，对等网络。节点就是打包，我不详细讲了。
其实它的去中心化我要深度说一下，对黑客来说，真正的去中心化不存在，其实它是分时的去中心化。选择一个中心来进行的。
这个是数据层，有区块链的结构，我不详细讲了，有merkle证明及结构。
未来的演进，不会有链回来的圈，所以它是有方向的。但它不会变成回执的，由多条链共同确认账本。你改一个转账，要改成多条链，所以很难改。但是它也有一个问题，很难保证安全性。
我再说一下不可能突破的三角。图灵奖的得主上个月提出他想突破不可能的三角。他大概用了一些算法，有三段共识机制，用了两段共识阶段，第一段是找随机的投票人，这种方法有点像咱们以前玩的表，用多层哈希加速。
讲到安全风险，区块链生态暴跌是因为黑客的安全问题。数字货币为什么这么有价值?因为它是共识，大家都认为它有价值，所以它就有价值。如果安全问题导致货币随便被偷取，大家的共识就会崩溃，所以它的价值会暴跌。大家可以看到，数字货币的交易所最大，13.4亿美元。智能合约12.4亿美元，超过了28亿美元甚至更高，很多的交易所和钱包丢币以后不会对外公布。
我们为什么要做安全?应无所住而生其心，你知道它是建立在沙上的塔，但你还是有想做的心，这种想法就是我们安全人员真正想做的。
从“币”开始进行发币，然后是币的发行，接着是币的流通，最后达到个人的持有。我们把它大概总结了一些，智能合约、基础协议、共识机制、外部引用的大类，但如果分得很细，从区块链的自身机制来说，有很多的安全问题，智能合约漏洞、51%算力攻击等等，不详细说了。
我要详细说一下区块链生态。区块链不光是技术和程序导致的，而是整个生态。链是分布式的，但我的生态是集中的，是中心化的。比如交易所，它是集中处理交易请求、买卖请求的，会把持币人全部集中在交易所，如果它被攻破了，所有的币都被偷了，生态中心化导致了安全问题。
分到整个的生态链，币的发行、流通和持有，碰到了很多很多的安全问题。怎么做安全?就是一步一步这样做过来的。
2003年当时有一些天才的想法，利用区块链机制，利用以太坊虚拟机机制，利用了脚本和虚拟机之间的机制，利用了生态中间的gap产生攻击，这种逻辑性攻击和本身系统的特性进行攻击的方法是非常牛的。
佛教用人的弱点，或者说我们的七情六欲，用这种东西攻击我们自己，摧毁我们的轮回，这是佛教的方法，其实黑客也在区块链里应用到了。
智能合约的递归调用问题非常常见，有脚本层和虚拟机层，以前我也做虚拟机层，虚拟机非常难处理很多的递归调用和权限。所以我认为，我们在区块链里一直提倡，应该把虚拟机设计为所有资产的操作、处理，比如转账、收账，资产处理全部应该原则化。比如我正在收银，我被叫过去擦桌子、洗碗，然后回来了别人告诉我，我刚刚给了你100块钱，你赶紧给我找钱，我又给他找了99块钱。中间会产生很多的递归问题，很多问题都是因为没有对资产处理进行原则化处理。
这个事件导致超过5000万美元的损失，这5000万美金后来可能值3亿美金。大家知道，社区有共识，导致共识有一段时间是崩溃的。其实这个非常简单，调用withdraw再调用withdraw进行递归，非常简单的漏洞。
这个漏洞非常有意思，假充值。我给交易所一充值，交易所马上确认我充了100万美金。你看这个很复杂，转账有多层，第一层是在网络里，大家收到了包，验证哈希是否正确，因为在网络层没有损坏。收到了包，他会认为这个包已经收到了。在小额支付的时候，比如信用卡支付，我是记名方式，有些币为了快速支付，包收到了他就认为你是支付成功，因为你不会在实名情况下欺诈一家咖啡店。在快速确认机制的时候，不能被用在确认大额的转账。
有些交易所的程序员不懂，直接把这个搬上了交易所的支付。本来是几十块钱咖啡的问题，我充了一百万美金过去，只要网络上交易所的节点收到了这个包，并且验证了包的哈希是正确的，完整性也ok，他就认为收到了，所以导致了当时的巨大损失。
还有更傻的安全问题。为了运行区块链的运转，有一个交易费用，我们把它记为燃料费。矿工是按照你发的gas费用排名，这个是全网p2p收到的，我就在我的节点上收，谁突然发了这个包，gas的费用很低，我就可以发更高价格的，然后更高价格和更低价格的费用在同一个池子里，然后矿工会选取谁的利益最大，然后打包做成区块链。所以就导致了一个情况，比如我们在做猜数类的游戏，大家知道网上有很多资金盘的赌博游戏，谁先猜到数是正确的，因为在广播，大家拿到这个数以后就可以验证，出一个更高的gas拦截，导致第一个发现档案的人被中途拦截，因为它的gas费用更高。
我们讲一下网络协议和技术安全。网络协议的挖矿算法、加密算法、rpc服务的漏洞太多了，还有时间戳的问题。
我们把这个问题叫以“太坊黑色情人节”，当时大概被盗了47000枚以太坊，大概是十几亿。它有非常傻的两个问题。
第一，rpc接口可被远程调用，在全节点情况下可做成钱包也可以做成挖矿者，为了加上远程调用的功能，但是在这种情况下可以进行远程访问，这是第一个错误，没有权限设置。
第二，为了方便，在固定的时间段不会让我再次输入密码，默认我还是拥有权限的。
这导致黑客扫了全球几万个钱包，过几秒钟或几分钟给这个钱包发一笔账，全球几万个钱包转来转去的交易，任何一个人给了钱包权限，攻击者马上拥有权限，把钱就转走了。
虚拟机的安全，刚才我说了很多，资产跟虚拟机要原则化进行分层。更可怕的是他们直接把gs的虚拟机拿过来用，这里有一个整数溢出，出现以后呈负数，所以不会报异常，导致引用虚拟机代码和使用虚拟机的时候有巨大的安全问题。
共识算法，这个我不讲细节。pow的耗能巨大，51%的算力攻击。dpos有腐败、黑客攻击、硬分叉等问题都非常多。
这块是非常经典的双花攻击，被人们真正使用起来很少，有一个学校发现这是硬挖矿。充币提款后，提交先挖矿，区块链中谁的算力大，谁的链长用谁，所以导致账本没有记录真正的花销，所以叫双花。
以前我们认为矿机就是linux，怎么会有漏洞?但其实非常多的矿机就用了默认的应用，连密码都有。很多的物联网设备其实都有这种密码，所以他用了很多的物联网设备做了肉机跳板，扫了全球的矿机地址，把矿机的挖矿地址改成了自己的地址。当时做了非常好的东西，5分钟改一次，只让自己每天挖5分钟。有1500多个矿池的节点被它改了，也是获利巨大。
我大概讲一下，现在交易所的ddos攻击非常严重，是混合型的。现在的黑客都已经是经济学家了，比如币安事件。他在外部交易所大量囤入山寨币，涨了110多倍的价格，用98个比特币买1个山寨币，价格上来之后他又把存储的一点几亿的山寨币卖掉了。
这个是资金盘的玩法，被黑客利用成阻塞交易。比如5分钟内，黑客是最后一个人，他把以太坊整个堵塞，所以最后的钱只能算给黑客。
硬件钱包也没有想象的那么安全，知道创宇连续破解了好多次，手机版被我们发现的是，在结构硬件框架里有漏洞，被我们利用了，可以直接提取密钥。我们又看了有安全芯片的ledger，同样发现了问题，把思路放在高通、华为、苹果上，同样也达成了。
我们提出了攻防循环，把区块链应用直接用沙盒预警起来，通过高概率影响和低概率影响做了一个图。我们还做了一些大数据的方法进行了追踪。
最后是五个佛系认知。
首先，现实社会和数字孪生。区块链系统所呈现的运行机制和模式就像是现实社会在数字世界数学化、算法化的孪生体。
第二，传统经济和通证经济。我们发现区块链已高度达成数字化，比如交易、数字黄金、数字金融，通证经济是权益，一个公司的小股东很容易被大股东欺负，但通证经济的股权都token化了，所以可以在市场流动。传统经济的很多东西自己都没数字化，很难搬上通证经济。
第三，人治社会和算法社会。一致性机制都是为了没有中间商赚差价，是无人化的中介。现在政府在做这种算法社会，我觉得还挺创意的。
第四，实体化和数字化。现在区块链行业很佛系的来说，还不能达到数字化阶段，更别说进入智能阶段，然后进入区块链阶段、token化阶段，还没有完成。
第五，刚性安全和柔性安全。经济虚拟到链上，涉及数学、算法、经济、治理机制各个方面，安全非常难保证。从治理机制、人的问题、算法问题上来说，生态问题很难解决，以前的安全失效，所以我们在探索柔性安全如何插入区块链的安全生态。
最后，知己知彼要攻守有道，我们要详细了解黑产是怎么获利的，我们才能更好的防御，谢谢大家!
京公网安备 11010802041100号