2018区块链安全报告_66页_6mb

2018年区块链安全报告总结

核心内容

2018年区块链安全事件频发，造成经济损失高达22.38亿美元，较2017年增长253%。全年共发生138起安全事件，其中业务层和合约层安全事件占比高达98.87%，分别发生64次和58次，累计损失22.1亿美元。共识层安全事件发生6起，损失约2216万美元。

主要观点

• 区块链安全问题集中在智能合约和应用层，技术漏洞和管理缺陷是主要诱因。
• 2018年区块链行业经历了从牛市到熊市的转变，市场波动和监管收紧影响了安全事件的发生频率和影响范围。
• 随着行业逐渐成熟，安全意识和技术防御措施逐步提升，但安全问题仍未得到根本解决。
• 区块链技术的去中心化、不可篡改等特性使其成为重要的信任机制，但也成为黑客攻击的目标。

关键信息

一、重点事件回顾

1. 全球同步跨交易所的抛售暴跌事故

   • 3月7日，币安遭遇黑客攻击，大量用户代币被转为BTC并买入VIA，导致VIA价格暴涨。
   • 黑客未提币，而是通过空单获利，开创了「盗币」新模式。
   • 币安未进行交易回滚，但用户资产未受到实际损失。

2. 监管收紧引发市场波动，交易所技术缺陷回滚交易

   • 周小川对加密数字货币市场的评论引发市场恐慌。
   • OKEx因交易异常回滚交易，引发对交易所操控性的质疑。
   • 回滚交易被视为对区块链不可篡改特性的破坏。

3. BCH硬分叉引发算力战，用户资产受到严重安全威胁

   • 11月15日，BCH分叉引发算力战，导致价格暴跌。
   • 分叉后用户资产无法交易，交易所暂停充值和提现。
   • 用户需采取措施防范重放攻击和粉尘攻击。

4. EOS智能合约黑客攻击

   • EOS上出现多起智能合约攻击事件，如EOSDice两次被盗。
   • 攻击手法包括随机数预测和合约漏洞利用。
   • 开发者未开源或未进行充分代码审查，导致攻击频发。

二、安全漏洞与攻击方式

1. 币安黑客攻击

   • 安全漏洞：二次验证未实现OTP逻辑。
   • 黑客利用钓鱼网站获取API密钥，操控用户交易。

2. 以太坊BEC智能合约攻击

   • 安全漏洞：整数溢出。
   • 黑客通过恶意输入制造大量代币，转入交易所获利。

3. EOS随机数生成算法漏洞

   • 黑客利用合约中随机数生成算法的漏洞预测结果，进行恶意下注。
   • 攻击后，开发者修改算法，采用延时开奖方式。

4. BCH硬分叉中的重放攻击与粉尘攻击

   • 重放攻击：未实施重放保护，用户资产被双链同步。
   • 粉尘攻击：大量小额交易导致网络拥堵和交易费用上涨。

三、行业视角下的安全问题

1. 区块链项目团队

   • 区块链项目面临多方面的安全风险，包括基础设施、网络攻击、数据泄露等。
   • 随着行业成熟，安全意识和技术能力逐步提升。

2. 安全团队谈安全

   • 派盾PeckShield认为，区块链安全系统落后于攻击技术，需加强安全投入。
   • 早期开发者技术能力参差不齐，安全事件频发。

3. 公链团队说安全

   • 唯链VeChain指出，公链安全防御滞后于黑客攻击，需提升开发团队的技术实力。
   • 公链需建立统一的安全标准和行业规范。

4. 钱包团队

   • 钱包安全问题不容忽视，技术能力不足导致安全隐患。
   • 需加强钱包的维护和安全更新，以保障用户资产和隐私。

四、权威观点

• 周小川
  • 强调区块链需谨慎对待，不能成为投机工具。
  • 支持区块链技术发展，但需服务于实体经济。
  • 周小川认为，技术发展与监管政策需相辅相成，以促进行业健康发展。

五、总结与展望

• 2018年区块链行业经历了技术发展与安全挑战并存的一年。
• 安全事件促使行业反思和改进，逐步建立更完善的安全体系。
• 随着更多传统安全机构参与，区块链安全问题将得到缓解。
• 未来区块链技术有望在更多生活场景中落地，成为重要基础设施。

参考资料

1. 《区块链安全白皮书-技术应用篇》，中国信息通信研究院，2018年9月
2. 《区块链能做什么、不能做什么？》，央行研究院，2018年11月
3. 《2018中国区块链产业白皮书》，工信部信息中心，2018年5月
4. 《2018上半年区块链安全报告》，腾讯安全联合实验室，2018年8月
5. 《BINANCE 部分用户账号异常事件始末 (币安公告)》
6. 《哪些交易所正在使用假的 OTP?》二子乘舟：哪些交易所正在使用假的OTP? - 黑客使用钓鱼BINANCE账号创建API砸盘对敲事件安全分析
7. 《暂停交易？ERC20 合约整数溢出安全漏洞案例技术分析（一）》吴寿鹤：暂停交易？ERC20合约整数溢出安全漏洞案例技术分析（一）
8. 《NEW BATCHOVERFLOW BUG IN MULTIPLE ERC20 SMART CONTRACTS (CVE-2018-10299)》
9. 《此地无人生还：区块链随机数的原罪与救赎》
10. 《道高一尺魔高一丈的随机数攻击——EOS 伪随机数漏洞》
11. 《为什么EOSBET 不敢开源？》为什么EOSBET不敢开源？
12. 《CNN: BITCOIN CASH DROPS 81% IN 1 MONTH: WHY IS IT PLUNGING SO RAPIDLY?》
13. 《PECKSHIELD: PROTECTING FROM REPLAY ATTACKS AFTER RECENT BCH HARD FORK》
14. 《CIRCLE: PREVENTING REPLAY ATTACKS AFTER THE BCH HARD FORK》
15. 《COIN SPLITTING BEWARE THE SLOW REPLAY ATTACK》