20180825-TokenClub_研究院-区块链安全研究报告_51页_3mb

报告摘要

区块链安全研究报告总结

核心内容

区块链作为一种新兴技术，结合了分布式数据存储、点对点传输、共识机制和加密算法，已成为数字货币和金融系统的重要基础。然而，随着区块链技术的广泛应用，其安全性问题也日益突出，主要包括区块链自身机制、生态安全和使用安全三个层面。安全问题频发不仅影响用户资产安全，也对行业生态发展构成威胁，因此区块链安全已成为行业发展的关键议题。

主要观点

区块链安全性挑战
区块链虽然具有较高的安全性，但并非无懈可击。其安全问题主要来源于三个方面：
- 加密算法的安全性：如SHA256虽然目前难以破解，但量子计算的发展可能带来新的风险。
- 协议安全性：如51%算力攻击、双花攻击等，是区块链面临的主要攻击方式。
- 系统安全性：智能合约开发中的漏洞是攻击者实施攻击的常见入口。
安全事件频发
区块链行业近年来安全事件数量显著上升，主要集中在以下领域：
- 智能合约漏洞：如The DAO事件、BEC和Smartmesh合约漏洞等，造成约12.5亿美元的损失。
- 交易所被盗：因交易所聚集大量资产，成为黑客攻击的主要目标，造成约14.2亿美元的损失。
- 用户安全问题：如私钥管理不当、钓鱼攻击、木马植入等，造成约0.56亿美元的损失。
- DDoS攻击：对交易所、钱包等基础设施的攻击频发，影响用户体验和平台运行。
行业安全板块
区块链安全服务主要包括：
- 交易所钱包安全审计
- 链安全审计
- 智能合约安全审计
- 安全顾问
- 安全运营
- 威胁情报
- 漏洞赏金

关键信息

安全事件统计：2018年已发生75起安全事件，损失达21亿美元，远超早期年均10起以下的水平。
安全事件类型：
- 交易所被盗：占比41%，损失达14.2亿美元。
- 智能合约漏洞：占比41%，损失达14.2亿美元。
- 用户安全问题：占比18%，损失达0.56亿美元。
安全事件趋势：随着数字货币参与人数和项目种类的增加，安全事件和损失金额呈上升趋势。
安全技术手段：
- 智能合约审计：通过形式化验证和自动化工具发现并修复漏洞。
- 算力监控：防止51%算力攻击等。
- 威胁情报：追踪黑客行为，分析链上数据，提升防御能力。
- 漏洞赏金：激励安全研究人员发现并报告漏洞，提升整体安全性。

行业中坚力量分析

目前，区块链安全服务主要由以下机构提供：

知道创宇：提供云防护、智能合约审计、钱包安全、算力监控等服务，与火币、Bitmain等企业合作。
链安科技：专注区块链安全，使用形式化验证技术，服务包括智能合约开发、审计、安全加固等，与OKEx、Huobi等知名交易所合作。
慢雾科技：提供安全审计、安全顾问、防御部署、威胁情报等服务，拥有丰富的实战经验，与多个区块链项目建立合作。
360区块链安全：基于13年安全大数据和安全大脑，提供钱包、交易所、矿池、智能合约等安全服务，曾帮助blockone避免重大漏洞。
Certik：专注于形式化验证，为多个区块链项目提供智能合约安全服务，与比特大陆、币安等机构合作。

区块链安全攻防技术分析

钓鱼攻击
通过伪装成可信来源获取用户私钥，常见手段包括链接监控、网站伪造、WIFI热点攻击等。建议用户从官网下载客户端并验证文件哈希。
拒绝服务攻击（DDoS）
通过耗尽链上gas或阻止外部调用，使合约无法运行。如Parity多重签名钱包事件。
双花攻击
- 51%算力攻击：控制网络算力，回滚交易，实现双花。
- 种族攻击：通过控制矿工费，使攻击者交易优先打包。
- 芬妮攻击：通过延迟广播区块，使攻击者交易被优先确认。
- Vector76攻击：通过一次确认交易的漏洞实现回滚。
- 替代历史攻击：通过构建更长的分支实现交易回滚。
整数溢出攻击
由于智能合约中对整数处理不当，可能导致账户被盗或资产被无限提取。例如withdraw()和transfer()函数中未正确处理整数溢出。
女巫攻击
通过伪造身份扰乱P2P网络，破坏数据冗余机制。可通过身份认证和分布式验证机制进行防范。

区块链安全行业应用

设备身份验证
利用区块链技术实现去中心化的设备身份识别，提升物联网和工业物联网设备的安全性。
数据完整性与机密性
区块链的不可篡改特性可用于提升数据完整性和机密性，如IBM和爱立信已应用区块链数据完整性服务。
隐私信息保护
如Obsidian使用区块链保护用户元数据，DARPA尝试构建基于区块链的安全通信系统。
改进公钥基础设施（PKI）
区块链可替代传统PKI，提供去中心化、无单点故障的身份验证和密钥管理。
更安全的DNS
使用区块链存储DNS记录，防止集中攻击，提升域名解析的安全性。
减少DDoS攻击
Gladius等区块链项目通过去中心化网络和带宽共享机制，提供抗DDoS解决方案。

未来展望

随着区块链技术的不断成熟和应用的扩展，其安全问题也将持续演变。未来，区块链安全服务将更加专业化和细化，涵盖更多应用场景。同时，量子计算等新技术的发展将对现有加密算法提出挑战，推动行业向抗量子安全技术演进。此外，随着区块链生态的扩展，安全机构和解决方案将更加多元化，区块链安全将成为保障行业健康发展的关键因素。